Bitget-hakkerointi jäljitettiin elokuun 31. päivän zero-day-hyökkäykseen
- SlowMist ja Mandiant julkaisivat syyskuun 30. päivänä toisistaan riippumattomat raportit, jotka tuottivat yhtenevän aikajanan hyökkäyksestä.
- Hyökkäysketju alkoi elokuun 31. päivän zero-day-aukosta ja eteni syyskuun 24.–25. päivän ulosvirtauksiin, joiden arvo nousi 387,5 miljoonaan dollariin.
- Hyökkääjän lompakko siirsi syyskuun 30. päivänä noin 3,9 miljoonaa dollaria zcashia Zcashin suojattuun Ironwood-pooliin.
- Hyökkääjän henkilöllisyys ja tarkka reitti järjestelmien välillä ovat yhä vahvistamatta.
Kaksi toisistaan riippumatonta tutkintayhtiötä päätyi samoihin johtopäätöksiin hyökkäyksen etenemisestä kolmannen osapuolen tietoturva-aukon kautta.
Pörssin hakkerointia on seurattu kryptomediassa viikon ajan tappiosumman, nostojen avaamisen ja suojarahaston ehtymisen kautta. Nyt koko hyökkäysketjusta on ensimmäistä kertaa olemassa tekninen rekonstruktio.
SlowMist, jonka Bitget palkkasi suoraan, ja Googlen omistama kyberturvayhtiö Mandiant julkaisivat syyskuun 30. päivänä kumpikin oman raporttinsa Bitgetin elokuun lopulla alkaneesta hakkeroinnista, ja kaksi toisistaan riippumatonta tutkintaa päätyi yhteneviin johtopäätöksiin hyökkäyksen kulusta.
Molemmat yhtiöt korostavat, että tulokset ovat yhä alustavia.
Varhaisin kirjattu haitallinen toiminta ajoittuu elokuun 31. päivään, jolloin hyökkääjä käytti kolmannen osapuolen turvatuotteen zero-day-haavoittuvuutta. Hän luki niin kutsutun "Tuote A" -solmun tietokannan salasanan piilotetulla skriptillä suoraan ympäristömuuttujasta. Samankaltaista toimintaa toistui kahdella muulla solmulla syyskuun 23. ja 25. päivänä.
Syyskuun 24. päivänä kello 16.07 UTC hyökkääjä pääsi sisään toisen turvatuotteen, "Tuote B":n, hallintaympäristöön pörssin työntekijän käyttäjätunnuksilla. Hän syötti järjestelmään omia komentoja, muokkasi asetuksia ja latasi haitallisia tiedostoja, ja haittaohjelmat käynnistyivät isäntäjärjestelmässä kello 17.49.
Ensimmäinen vahvistettu ulosvirtaus ketjussa tapahtui kello 18.31 UTC syyskuun 25. päivänä, kun hyökkääjän osoitteelle siirtyi 93 tronia. Yksitoista sekuntia myöhemmin siirtyi vielä noin 0,8 etheriä.
Suurimmassa yksittäisessä aallossa kello 19.16 siirtyi pois noin 185 miljoonaa dollaria noin minuutin aikana.
Ulosvirtaus pysähtyi kello 21.23, jolloin koko siirtoikkuna oli kestänyt noin kaksi tuntia 52 minuuttia. Sen jälkeen hyökkääjä yritti vielä kahta väärennettyä bitcoin-nostoa, jotka molemmat päätyivät virheilmoitukseen.
Kokonaistappio nousi alkuperäisestä 351,6 miljoonan dollarin arviosta 387,5 miljoonaan dollariin, kun mukaan laskettiin myös Zcash- ja Tron-siirrot.
Bitget ei ole kiistänyt kumpaakaan raporttia. SlowMistin selvityksen se tilasi itse ja on julkisesti sitoutunut sen tuloksiin.
Mandiant ja SlowMist jatkavat tutkinnan ja ketjuanalyysin tukemista. Bitget on myös julkaissut tunnistetut hyökkääjän osoitteet...
– Bitget (@bitget) September 30, 2026
Tuoreimman löydöksen teki on-chain-tutkija ZachXBT, jonka mukaan hyökkääjä teki siirron kolmessa erässä kello 8.15–8.46 UTC. Ironwood-pooli piilottaa summat ja osoitteet julkiselta lohkoketjulta ja vaikeuttaa siten varojen jäljittämistä.
Summa vastaa noin 15:tä prosenttia niistä noin 18 917 zcashista, jotka siirtyivät hyökkääjän lompakkoon hakkeroinnin yhteydessä.
Bitgetin toimitusjohtaja Gracy Chen ei usko varojen täyteen palautumiseen. Hän viittasi CoinTelegraphin Chain Reaction -ohjelmassa Bybitin vuoden 2025 hakkerointiin, josta oli jäädytetty vuoden kuluttua vain noin 3,5 prosenttia varastetusta summasta.
– En ole kovin optimistinen. Se on vasta jäädyttämistä, ei vielä palautusta, Chen sanoi.
SlowMist ja Mandiant eivät vielä pysty vahvistamaan hyökkääjän henkilöllisyyttä eikä tarkkaa reittiä "Tuote A":n ja "Tuote B":n välillä, ja myös lopulliset tappio- ja palautusluvut voivat vielä muuttua. Pohjois-Korean Lazarus-ryhmään viittaavia epäilyjä on liikkeellä ZachXBT:n, Elliptic-yhtiön ja Bitgetin itsensä merkitsemien osoitteiden pohjalta, mutta kyse ei ole SlowMistin, Mandiantin tai minkään valtion vahvistamasta tunnistuksesta.
