A Bitget detetou transferências não autorizadas de carteiras às 18:31 UTC de 24 de setembro, cerca de 30 minutos antes de os atacantes começarem a movimentar centenas de milhões de dólares. A reconstrução da Hypernative concluiu que 87,6 milhões de dólares saíram de carteiras hot às 19:01, seguidos de 202,8 milhões de dólares de carteiras warm às 19:16. As duas vagas duraram apenas 24 segundos e corresponderam a cerca de três quartos dos 387,5 milhões de dólares que, segundo a Bitget, foram transferidos para endereços controlados pelos atacantes.
Porque é importante
O momento dos acontecimentos coloca a resposta da exchange sob escrutínio. A Bitget afirmou que a equipa de segurança ativou protocolos de emergência após o alerta, mas as transferências ligadas aos atacantes continuaram até às 21:23 UTC, quase três horas depois da hora em que a violação foi detetada, segundo a empresa. A questão central é perceber porque é que a via de assinatura comprometida continuou operacional após o primeiro aviso.
A Bitget afirmou que um atacante comprometeu um sistema backend da infraestrutura das suas carteiras, falsificou dados de levantamentos e enganou o processo de autorização, levando-o a aprovar transferências. A empresa disse que as chaves privadas não foram comprometidas. Segundo a Hypernative, as transações foram assinadas pelas próprias carteiras da Bitget e eram muito semelhantes a levantamentos normais de clientes.
Impacto no mercado
O ataque começou com pequenas transferências de teste de 0,84 ETH e 93 TRX às 18:31. Cerca de 28 minutos depois, o atacante transferiu 34,75 milhões de dólares em USDT e, em seguida, acelerou o esvaziamento dos fundos em várias blockchains. A Hypernative apontou possíveis medidas de proteção, incluindo a verificação independente de que as transferências assinadas correspondem a levantamentos aprovados, a sinalização de parâmetros de transação invulgares, limites de velocidade por nível de carteira e a suspensão automática de signatários anómalos.
A Bitget afirmou ter corrigido a vulnerabilidade e que não ocorreram mais transferências não autorizadas após a contenção do ataque. A Mandiant e a SlowMist continuam envolvidas na investigação forense. Para operadores de exchanges e clientes, o incidente destaca a importância de controlos capazes de interromper automaticamente as assinaturas quando os sistemas internos detetam atividade suspeita.
Perguntas frequentes
-
Quanto foi transferido nas duas maiores vagas da Bitget?
A reconstrução da Hypernative concluiu que saíram 87,6 milhões de dólares de carteiras hot e 202,8 milhões de carteiras warm. As duas vagas duraram 24 segundos.
-
Quanto tempo depois do alerta da Bitget começou a primeira vaga significativa?
A Bitget afirmou ter detetado transferências não autorizadas às 18:31 UTC. A primeira vaga significativa, de 87,6 milhões de dólares em carteiras hot, começou às 19:01.
-
O que afirmou a Bitget que o atacante comprometeu?
A Bitget afirmou que o atacante comprometeu um sistema backend da infraestrutura das suas carteiras, falsificou dados de levantamentos e enganou o processo de autorização, levando-o a aprovar transferências.
-
As chaves privadas da Bitget foram comprometidas?
A Bitget afirmou que as suas chaves privadas não foram comprometidas. Atribuiu a violação a um sistema backend comprometido e à falsificação de dados de levantamentos.
-
Que medidas de proteção a Hypernative identificou como possíveis defesas?
A Hypernative identificou verificações independentes face aos levantamentos aprovados, monitorização dos parâmetros das transações, limites de transferência por carteira, aprovações adicionais e suspensão automática de signatários anómalos.
WuBlockchain
Crypto News
CoinDesk
CoinTelegraph
Lookonchain
TheBlock