Blockchainbeveiligingsbedrijf SlowMist heeft bevindingen gepubliceerd over de Bitget-hack van $388 miljoen, waarbij kwaadaardige activiteit wordt gekoppeld aan 31 augustus en wordt beschreven hoe aanvallers later opnamesystemen manipuleerden. Het onderzoek wijst op een zero-day-exploit, wat betekent dat het een kwetsbaarheid was die onbekend was bij de verdedigers van het platform toen deze voor het eerst werd gebruikt.

De openbare samenvatting is kort en de details zijn beperkt. Dit bericht blijft bij wat er is gerapporteerd, legt uit waarom de bevindingen belangrijk zijn en scheidt nuttige beschermende stappen van advies dat behulpzaam klinkt maar de uitkomst niet zou hebben veranderd.

Wat SlowMist rapporteerde over de Bitget-hack

Volgens de rapportage identificeerde SlowMist kwaadaardige activiteit in verband met de Bitget-hack die teruggaat tot 31 augustus. Dat is opmerkelijk omdat het suggereert dat de intrusie niet begon op het moment dat er geld werd verplaatst. De activiteit werd eerder in de tijdlijn gedetecteerd, en de latere diefstal vond plaats nadat aanvallers al een voet aan de grond hadden gekregen.

SlowMist beschreef ook hoe de aanvallers later opnamesystemen manipuleerden. In de praktijk zijn opnamesystemen de controles die bepalen of een verzoek om geld van een exchange te verplaatsen legitiem is. Het manipuleren ervan kan een aanvaller in staat stellen overschrijvingen door te drukken die normale controles zouden hebben tegengehouden.

Het totaal dat voor het incident wordt genoemd is $388 miljoen. De samenvatting geeft geen technische bijzonderheden over de zero-day, de exacte opeenvolging van gebeurtenissen of hoeveel van het geld is teruggevonden of getraceerd, dus we gaan niet gokken op die details. Lezers moeten het beeld als voorlopig beschouwen totdat volledigere technische bevindingen worden gepubliceerd.

Waarom zero-day-exploits moeilijk te verdedigen zijn

Een zero-day-exploit richt zich op een zwakte waarvan de leverancier of platformbeheerder nog niet op de hoogte is. Er is geen patch om te installeren en geen signatuur waar beveiligingstools naar kunnen zoeken, wat aanvallers een venster geeft om stil te opereren.

De gerapporteerde tijdlijn is een nuttige herinnering aan hoe dit soort incidenten zich vaak ontvouwen. Kwaadaardige activiteit kan al lang in een systeem aanwezig zijn voordat de zichtbare schade optreedt. Hetzelfde patroon van geduldige, gefaseerde intrusie komt terug in andere recente dreigingen, zoals de geautomatiseerde aanvalsketen die wordt beschreven in onze berichtgeving over JADEPUFFER en ransomware die zonder mensen werkt. Andere doelen, dezelfde les: activiteit in een vroeg stadium is vaak de beste kans om een aanval te onderscheppen, en het is gemakkelijk om die te missen.

De invalshoek van de opnamesystemen is om een specifieke reden belangrijk. Exchanges vertrouwen op lagen van goedkeuringen en monitoring rond uitgaande fondsen. Als een aanvaller die laag kan manipuleren, hangt de schade niet af van het stelen van het wachtwoord van een individuele klant.

Wat dit voor jou betekent

Het belangrijkste punt gaat over waar de fout plaatsvond. Op basis van de rapportage betrof de compromittering de eigen infrastructuur en opnamesystemen van de exchange, niet het apparaat of de internetverbinding van een klant.

Dat heeft een direct gevolg voor een veelvoorkomend stukje advies. Een VPN versleutelt het verkeer tussen je apparaat en het internet, en kan helpen op onbetrouwbare netwerken zoals openbare wifi. Maar een VPN zou een aanvaller die een kwetsbaarheid in de servers van een exchange uitbuit niet hebben tegengehouden. Het is een redelijk privacytool, geen verdediging tegen dit soort incidenten, en lezers moeten sceptisch zijn tegenover iedereen die het zo voorstelt.

Wat je kunt beheersen is hoeveel risico je neemt door activa op één enkel platform te bewaren. Een paar praktische punten:

  • Bewaring is belangrijk. Fondsen die op een exchange worden aangehouden, zijn afhankelijk van de beveiliging van die exchange. Fondsen in een wallet waarvan jij de sleutels beheert niet, al brengen die hun eigen verantwoordelijkheden met zich mee.
  • Saldo's op exchanges zijn blootstelling. Geld dat je niet actief verhandelt kun je beter elders bewaren als je je er prettig bij voelt om het zelf te beheren.
  • Accountbeveiligingen tellen nog steeds. Ze pakken geen server-side zero-day aan, maar ze blokkeren de veelvoorkomende aanvallen die op individuele gebruikers zijn gericht.

Praktische stappen om je blootstelling te verminderen

Je kunt de servers van een exchange niet patchen, maar je kunt beperken hoeveel één enkele fout je kan kosten.

  1. Beoordeel wat je op exchanges aanhoudt. Verplaats langetermijnposities die je niet van plan bent te verhandelen naar opslag die je zelf beheert, zoals een hardware-wallet, als je je prettig voelt bij self-custody.
  2. Gebruik sterke, unieke wachtwoorden en een wachtwoordmanager. Dit beschermt je tegen diefstal van inloggegevens, wat een apart risico blijft.
  3. Schakel tweefactorauthenticatie in, bij voorkeur met een authenticator-app of hardware-sleutel in plaats van sms.
  4. Schakel opnamebeveiligingen in die je platform biedt, zoals adres-allowlists of vertragingen bij opnames, indien beschikbaar.
  5. Let op officiële communicatie. Na een incident doen oplichters zich vaak voor als het getroffen bedrijf. Vertrouw alleen aankondigingen via geverifieerde kanalen, en deel nooit seed phrases of herstelcodes.
  6. Gebruik een VPN om de juiste redenen. Op openbare netwerken kan het het risico op afluisteren verminderen, maar beschouw het als één laag, niet als vervanging van de bovenstaande stappen.

De kern

De bevindingen van SlowMist over de Bitget-hack laten zien dat een grote diefstal kan worden voorafgegaan door eerdere, stillere activiteit, en dat aanvallers die opnamesystemen bereiken ernstige verliezen kunnen veroorzaken. Totdat volledigere technische details worden gepubliceerd, blijven de feiten beperkt tot de activiteit van 31 augustus, de karakterisering als zero-day, de manipulatie van opnames en het bedrag van $388 miljoen.

Voor individuele gebruikers is de les om de afhankelijkheid van de beveiliging van één platform te verminderen. Houd alleen op exchanges wat je nodig hebt, gebruik sterke accountbeveiligingen en wees realistisch over wat tools zoals VPN's wel en niet kunnen. Beoordeel vandaag je eigen opzet, te beginnen met hoeveel er op exchanges staat en of je opnamebeveiligingen zijn ingeschakeld.