Bitget hat Bitcoin-Abhebungen im Bitcoin-Netzwerk wieder geöffnet, nachdem ein Hack etwa 387,5 Mio. USD auf von Angreifern kontrollierte Adressen verschoben und die Börse am 24. September zur Aussetzung von Abhebungen gezwungen hatte.
Zusammenfassung
- Bitcoin-Abhebungen wurden am 28. September um 08:00 UTC wieder aufgenommen, vier Tage nachdem Bitget Kundenabhebungen ausgesetzt hatte.
- Bitget gibt an, dass Angreifer ein Sicherheitsprodukt eines Drittanbieters ausgenutzt haben, um Anmeldedaten zu erlangen und Abhebungsbefehle zu fälschen.
- Bitget hat bestätigt, dass während des Sicherheitsvorfalls im September etwa 387,5 Mio. USD auf von Angreifern kontrollierte Adressen verschoben wurden.
- Ether-Abhebungen sind für den 29. September geplant, gefolgt von USDT-Abhebungen am 30. September weltweit.
- Mandiant und SlowMist unterstützen die Untersuchung, während Bitget weiterhin gestohlene Vermögenswerte verfolgt und zurückzugewinnen versucht.
Bitget erklärte, dass BTC-Abhebungen am 28. September um 08:00 UTC wie geplant verfügbar wurden, was den Beginn einer schrittweisen Wiederherstellung der Dienste nach Sicherheitsüberprüfungen der Abhebungsinfrastruktur markiert. Die Börse gab an, dass die mit dem Vorfall verbundene Schwachstelle behoben wurde und nach der Eindämmung keine weiteren unbefugten Transfers festgestellt wurden.
Die Kontostände der Nutzer bleiben unberührt, laut dem Unternehmen. Einzahlungen und Handel liefen während der Aussetzung der Abhebungen weiter, und Bitget gibt an, dass sein Nutzerschutzfonds den finanziellen Verlust durch den Angriff decken wird.
Untersuchung des Bitget-Hacks identifiziert Sicherheitslücke bei Drittanbieter
Der Bitget-Hack vom 24. September begann gegen 18:31 UTC, als unbefugte Transfers aus Teilen der Hot- und Warm-Wallet-Infrastruktur der Börse entdeckt wurden. Bitget schätzte zunächst, dass etwa 351,6 Mio. USD betroffen waren, bevor spätere Nachverfolgungen den Betrag, der an von Angreifern kontrollierte Adressen gesendet wurde, auf etwa 387,5 Mio. USD erhöhten.
Während eines Livestreams am 28. September sagte CEO Gracy Chen, dass der Angreifer eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters ausgenutzt und hochrangige interne Netzwerkanmeldedaten erlangt habe. Nach Darstellung des Unternehmens wurden diese Anmeldedaten dann verwendet, um betrügerische Abhebungsanweisungen zu erstellen, die bestehende Risikokontrollen umgingen.
„Der Angreifer nutzte diese Anmeldedaten dann, um betrügerische Abhebungsbefehle an das Wallet-System zu senden“, erklärte Bitget in seinem Bericht über den Sicherheitsvorfall.
Das Unternehmen gibt an, dass keine privaten Schlüssel preisgegeben wurden und seine Cold Wallets nicht betroffen waren. Die von Bitget veröffentlichte Zeitachse des Vorfalls beschreibt einen Angreifer, der die Backend-Wallet-Infrastruktur kompromittierte und falsche Transaktionsinformationen in den Autorisierungsprozess einspeiste.
Mandiant und das Blockchain-Sicherheitsunternehmen SlowMist unterstützen weiterhin die Untersuchung. Bitget erklärte, dass seine eigenen Teams den Angriffspfad identifiziert, die zugrunde liegende Schwachstelle gepatcht und zusätzliche Validierungen durchgeführt haben, bevor die betroffenen Abhebungsdienste wieder zugelassen wurden.
BTC-Abhebungen werden vor ETH und USDT wieder geöffnet
Bitcoin ist der erste Vermögenswert, der von der Wiederaufnahme der Abhebungen bei Bitget abgedeckt wird. Die Börse öffnete BTC-Abhebungen im Bitcoin-Netzwerk am 28. September um 08:00 UTC, vier Tage nach Beginn der Aussetzung.
Ether ist als Nächstes im Zeitplan. ETH-Abhebungen sollen am 29. September um 08:00 UTC über Ethereum, BNB Smart Chain, Arbitrum, Base und Optimism wieder geöffnet werden. USDT-Abhebungen sind für den 30. September um 08:00 UTC über Ethereum, BNB Smart Chain, Solana und Tron geplant.
Andere Token-Abhebungen, Fiat-Abhebungsdienste und Peer-to-Peer-Transaktionen sollen am 2. Oktober um 08:00 UTC wieder verfügbar sein. Bitget hat erklärt, dass jeder Teil der Einführung weiterhin Sicherheitsüberprüfungen für den jeweiligen Vermögenswert und das jeweilige Netzwerk unterliegt.
Die BTC-Wiedereröffnung folgt dem zwei Tage zuvor angekündigten Zeitplan. Wie crypto.news zuvor berichtete, hatte Bitget den 28. September als erstes Datum für die Wiederherstellung von Auszahlungen festgelegt, während Mandiant und SlowMist den Vorfall untersuchten und die Börse ihre Infrastruktur überprüfte.
In der ersten Sicherheitsmitteilung von Bitget hieß es, dass der User Protection Fund zum Zeitpunkt der Aussetzung der Auszahlungen mehr als 464 Millionen USD umfasste. Das Unternehmen gibt an, dass der Fonds die Verluste aus dem Sicherheitsvorfall absorbieren wird, obwohl die spätere Diebstahlsumme von 387,5 Millionen USD erst nach dieser ursprünglichen Bewertung des Fonds veröffentlicht wurde.
Gestohlene Bitget-Gelder bleiben Gegenstand der Untersuchung
Die Wiederbeschaffungsbemühungen wurden fortgesetzt, während die Auszahlungsdienste zurückkehren. Bitget startete ein Kopfgeldprogramm, das Parteien abdeckt, deren Arbeit direkt dazu führt, dass gestohlene Vermögenswerte eingefroren oder wiederbeschafft werden. Das Programm bietet separate Belohnungen von 5 %, die an qualifizierende Einfrierungen und erfolgreiche Wiederbeschaffungen geknüpft sind.
Circle und Tether hatten nach Informationen, über die crypto.news berichtete, bis zum 26. September etwa 99.990 USDC und 218.023 USDT eingefroren, die mit dem Angriff in Verbindung stehen. Bitget hat Angreiferadressen veröffentlicht und ein Tracing-Portal eröffnet, während Ermittler Transaktionen über mehrere Chains hinweg verfolgen.
Einige gestohlene Vermögenswerte wurden weiterhin zwischen Netzwerken bewegt. In einer verwandten Berichterstattung berichtete crypto.news, dass Gelder, die mit dem Sicherheitsvorfall in Verbindung stehen, über THORChain geleitet wurden, was einen Streit auslöste, nachdem Bitget Maßnahmen gegen Adressen gefordert hatte, die mit dem Angreifer verbunden sind. THORChain erklärte, sein Protokoll biete keinen Mechanismus zum selektiven Blockieren einzelner Adressen.
Das Blockchain-Compliance-Unternehmen AMLBot verfolgte später etwa vier BTC, die mit den gestohlenen Geldern in Verbindung stehen, bis in eine Wasabi-CoinJoin-Transaktion. Das Unternehmen gab an, dass die Gelder von TRON über USDT0 und Ethereum bewegt und dann über THORChain in Bitcoin umgewandelt wurden.
AMLBot schätzte am 25. September, dass etwa 343 Millionen USD, die es mit dem Sicherheitsvorfall in Verbindung brachte, über 13 Angreifer-Wallets hinweg ruhten. Das Unternehmen identifizierte acht Ethereum-Wallets mit etwa 68.300 ETH, vier XRP-Adressen mit rund 83 Millionen XRP und eine weitere Wallet mit fast 18.900 ZEC.
