SlowMist relie l’activité liée au piratage de Bitget à un exploit zero-day du 31 août

SlowMist a fait remonter au 31 août la première activité malveillante enregistrée liée au vol de 388 millions de dollars subi par Bitget, lorsqu’un attaquant a exploité une vulnérabilité zero-day affectant un produit de sécurité tiers.

Les attaquants ont volé les fonds des portefeuilles crypto chauds de Bitget le 24 septembre (UTC), en transférant les actifs vers des adresses qu’ils contrôlaient sur plusieurs blockchains. L’enquête de SlowMist a identifié une activité malveillante impliquant deux produits de sécurité tiers et l’hôte d’une application de portefeuille crypto.

Selon un rapport d’avancement de SlowMist, l’attaquant a utilisé un script dissimulé pour accéder à la base de données de ce que SlowMist a appelé « Produit A », après avoir récupéré son mot de passe dans une variable d’environnement. Une activité similaire a ensuite été détectée sur deux autres nœuds les 23 et 25 septembre. Les dates et heures indiquées dans le rapport sont en UTC+8.

Le 25 septembre, l’attaquant a également accédé à la plateforme de gestion d’un deuxième produit de sécurité, que SlowMist a appelé « Produit B », en utilisant l’identité d’un employé interne. SlowMist a déclaré que l’attaquant avait ensuite tenté d’injecter des commandes système, de modifier les configurations des serveurs et de téléverser des fichiers de programmes malveillants. 

SlowMist a déclaré que son enquête se poursuivait et qu’il examinait encore comment l’attaquant s’était déplacé entre les systèmes touchés. 

L’attaquant a utilisé un outil de retrait personnalisé

La société de sécurité a déclaré avoir récupéré un outil supprimé, hautement personnalisé, utilisé pour manipuler le processus de retrait du système de portefeuille crypto. L’outil falsifiait les paramètres de contrôle des risques, construisait des demandes de retrait et déclenchait le processus de retrait.

La vérification on-chain de SlowMist a établi que le premier transfert vérifié à ce jour avait eu lieu à 2 h 31 (UTC+8) le 25 septembre, lorsqu’une adresse contrôlée par l’attaquant a reçu 93 TRX, suivis 11 secondes plus tard de 0,84 Ether sur Ethereum. Les enregistrements de transferts compilés couvraient environ deux heures et 52 minutes sur plusieurs blockchains, jusqu’à 5 h 23 ce jour-là.

L’attaquant a également tenté de modifier directement les enregistrements de retrait dans la base de données du portefeuille crypto et de déclencher d’autres retraits de Bitcoin. SlowMist a déclaré que deux ordres de retrait de BTC fabriqués étaient entrés en traitement, mais avaient renvoyé des erreurs, après quoi l’attaquant avait examiné les journaux, vérifié l’état des ordres et effectué d’autres tentatives.

À lire aussi : Le CEO de Bitget soupçonne la Corée du Nord derrière le piratage de 352 millions de dollars, en invoquant des indices liés aux adresses IP

Dans une mise à jour du 25 septembre, Bitget a déclaré qu’environ 387,5 millions de dollars avaient été transférés vers des adresses contrôlées par les attaquants sur plusieurs réseaux. 

La CEO de Bitget, Gracy Chen, a ensuite déclaré à Cointelegraph que la faille provenait d’une vulnérabilité dans un produit de sécurité tiers qui avait permis à l’attaquant d’obtenir des « identifiants internes de haut niveau » et d’émettre des commandes de retrait frauduleuses. Elle a déclaré que les clés privées et les portefeuilles froids de Bitget n’avaient pas été compromis.

Bitget tente toujours de récupérer les actifs volés. S’exprimant dans l’émission Chain Reaction, Chen a déclaré qu’elle n’était « pas très optimiste » quant à la récupération complète des quelque 388 millions de dollars perdus, citant la récupération limitée à la suite du piratage de Bybit en 2025 comme point de référence.

Magazine : La saison des altcoins arrive — et les traders sont plus exigeants cette fois-ci