Blockchainová bezpečnostní firma SlowMist zveřejnila zjištění k hacku Bitgetu ve výši 388 milionů dolarů, přičemž spojuje škodlivou aktivitu s 31. srpnem a popisuje, jak útočníci následně manipulovali výběrové systémy. Vyšetřování poukazuje na zneužití zero-day zranitelnosti, tedy chyby, která byla v době prvního použití obráncům platformy neznámá.

Veřejné shrnutí je krátké a podrobnosti jsou omezené. Tento příspěvek se drží toho, co bylo oznámeno, vysvětluje, proč mají zjištění význam, a odděluje užitečné ochranné kroky od rad, které znějí užitečně, ale výsledek by nezměnily.

Co SlowMist oznámil o hacku Bitgetu

Podle zpráv SlowMist identifikoval škodlivou aktivitu spojenou s hackem Bitgetu, která sahá až k 31. srpnu. To je pozoruhodné, protože to naznačuje, že k průniku nedošlo v okamžiku, kdy byly prostředky přesunuty. Aktivita byla v časové ose odhalena dříve a k pozdější krádeži došlo poté, co si útočníci již vytvořili opěrný bod.

SlowMist také podrobně popsal, jak útočníci následně manipulovali výběrové systémy. V praxi jsou výběrové systémy kontrolami, které rozhodují o tom, zda je žádost o přesun prostředků z burzy legitimní. Jejich manipulace může útočníkovi umožnit protlačit převody, které by běžné kontroly zastavily.

Celková uváděná částka za incident je 388 milionů dolarů. Shrnutí neuvádí technické podrobnosti zero-day zranitelnosti, přesný sled událostí ani to, kolik peněz bylo vráceno nebo vystopováno, takže tyto podrobnosti nebudeme hádat. Čtenáři by měli tento obraz považovat za předběžný, dokud nebudou zveřejněna úplnější technická zjištění.

Proč je obtížné se bránit proti zero-day zneužitím

Zero-day zneužití cílí na slabinu, o které dodavatel nebo provozovatel platformy ještě neví. Neexistuje žádná záplata k instalaci ani signatura, kterou by bezpečnostní nástroje hledaly, což útočníkům dává prostor operovat tiše.

Oznámená časová osa je užitečnou připomínkou toho, jak tyto incidenty obvykle probíhají. Škodlivá aktivita může v systému přetrvávat dlouho před tím, než dojde k viditelné škodě. Stejný vzorec trpělivého, postupného průniku se objevuje i v dalších nedávných hrozbách, jako je automatizovaný útočný řetězec popsaný v našem článku o JADEPUFFER a ransomwaru, který funguje bez lidí. Jiné cíle, podobná lekce: aktivita v rané fázi je často nejlepší šancí útok zachytit a je snadné ji přehlédnout.

Úhel pohledu výběrových systémů je důležitý ze specifického důvodu. Burzy se spoléhají na vrstvy schvalování a monitorování odchozích prostředků. Pokud útočník dokáže tuto vrstvu zmanipulovat, škoda nezávisí na ukradení hesla žádného jednotlivého zákazníka.

Co to znamená pro vás

Nejdůležitější bod se týká toho, kde došlo k selhání. Podle zpráv kompromitace zahrnovala vlastní infrastrukturu burzy a výběrové systémy, nikoli zařízení nebo internetové připojení zákazníka.

To má přímý důsledek pro jednu běžnou radu. VPN šifruje provoz mezi vaším zařízením a internetem a může pomoci v nedůvěryhodných sítích, jako je veřejná Wi-Fi. VPN by však nezastavila útočníka zneužívajícího chybu uvnitř serverů burzy. Je to rozumný nástroj pro soukromí, nikoli obrana proti tomuto druhu incidentu, a čtenáři by měli být skeptičtí vůči každému, kdo ji takto prezentuje.

Co můžete ovlivnit, je míra rizika, kterou na sebe berete tím, že držíte aktiva na jedné platformě. Několik praktických bodů:

  • Úschova je důležitá. Prostředky držené na burze závisí na zabezpečení této burzy. Prostředky v peněžence, kde klíče kontrolujete vy, nikoli, i když s sebou nesou vlastní odpovědnost.
  • Zůstatky na burze jsou riziková expozice. Peníze, se kterými aktivně neobchodujete, je lepší držet jinde, pokud jste ochotni je spravovat sami.
  • Ochrana účtu se stále počítá. Neřeší zero-day na straně serveru, ale blokuje mnohem běžnější útoky zaměřené na jednotlivé uživatele.

Praktické kroky ke snížení vaší expozice

Servery burzy opravit nemůžete, ale můžete omezit, kolik vás může stát jediné selhání.

  1. Zkontrolujte, co na burzách držíte. Přesuňte dlouhodobé pozice, se kterými neplánujete obchodovat, do úložiště, které kontrolujete, například do hardwarové peněženky, pokud vám vlastní úschova vyhovuje.
  2. Používejte silná, jedinečná hesla a správce hesel. To vás chrání před krádeží přihlašovacích údajů, což zůstává samostatným rizikem.
  3. Zapněte dvoufaktorové ověřování, ideálně pomocí aplikace pro ověřování nebo hardwarového klíče místo SMS.
  4. Povolte ochranu výběrů, kterou vaše platforma nabízí, například seznamy povolených adres nebo zpoždění výběrů, pokud jsou k dispozici.
  5. Sledujte oficiální komunikaci. Po incidentu se podvodníci často vydávají za postiženou společnost. Důvěřujte pouze oznámením z ověřených kanálů a nikdy nesdílejte seed fráze ani kódy pro obnovení.
  6. Používejte VPN ze správných důvodů. Ve veřejných sítích může snížit riziko odposlechu, ale berte ji jako jednu vrstvu, nikoli jako náhradu za výše uvedené kroky.

Závěr

Zjištění SlowMistu o hacku Bitgetu ukazují, že velké krádeži může předcházet dřívější, tišší aktivita, a že útočníci, kteří se dostanou k výběrovým systémům, mohou způsobit vážné ztráty. Dokud nebudou zveřejněny úplnější technické podrobnosti, fakta se omezují na aktivitu z 31. srpna, charakteristiku zero-day, manipulaci s výběry a částku 388 milionů dolarů.

Pro jednotlivé uživatele je ponaučením snížit závislost na zabezpečení jakékoli jedné platformy. Držte na burzách jen to, co potřebujete, používejte silnou ochranu účtu a buďte realisté ohledně toho, co nástroje jako VPN umí a co ne. Zkontrolujte dnes své vlastní nastavení, počínaje tím, kolik toho leží na burzách a zda máte zapnuté ochranné prvky pro výběry.