Фирма по блокчейн-безопасности SlowMist опубликовала выводы о взломе Bitget на $388 млн, связав вредоносную активность с 31 августа и описав, как злоумышленники позднее манипулировали системами вывода средств. Расследование указывает на эксплуатацию zero-day, то есть уязвимости, которая была неизвестна защитникам платформы в момент её первого использования.

Публичное резюме короткое, а детали ограничены. В этом материале мы придерживаемся того, что было сообщено, объясняем, почему эти выводы важны, и отделяем полезные защитные шаги от советов, которые звучат полезно, но не изменили бы исход.

Что SlowMist сообщила о взломе Bitget

Согласно сообщениям, SlowMist выявила вредоносную активность, связанную со взломом Bitget, которая восходит к 31 августа. Это примечательно, поскольку говорит о том, что вторжение не началось в момент перемещения средств. Активность была обнаружена раньше в хронологии, а последующая кража произошла после того, как злоумышленники уже закрепились в системе.

SlowMist также подробно описала, как злоумышленники позднее манипулировали системами вывода средств. На практике системы вывода — это механизмы контроля, которые определяют, является ли запрос на перемещение средств с биржи законным. Вмешательство в них может позволить злоумышленнику провести переводы, которые были бы остановлены обычными проверками.

Общая сумма, указанная для этого инцидента, составляет $388 млн. В резюме не раскрываются технические подробности zero-day, точная последовательность событий или то, какая часть денег была возвращена или отслежена, поэтому мы не будем строить догадки об этих деталях. Читателям следует рассматривать картину как предварительную до публикации более полных технических выводов.

Почему от zero-day-эксплойтов трудно защищаться

Zero-day-эксплойт нацелен на слабость, о которой производитель или оператор платформы ещё не знает. Патча для установки нет, и сигнатуры, которую искали бы средства безопасности, тоже нет, что даёт злоумышленникам окно для тихой работы.

Сообщаемая хронология — полезное напоминание о том, как обычно разворачиваются такие инциденты. Вредоносная активность может находиться в системе задолго до появления видимого ущерба. Та же модель терпеливого, поэтапного вторжения проявляется и в других недавних угрозах, например в автоматизированной цепочке атак, описанной в нашем материале о JADEPUFFER и программах-вымогателях, работающих без участия человека. Цели разные, урок похожий: активность на ранней стадии часто даёт лучший шанс поймать атаку, и её легко пропустить.

Аспект с системами вывода важен по конкретной причине. Биржи полагаются на уровни одобрений и мониторинга вокруг исходящих средств. Если злоумышленник может манипулировать этим уровнем, ущерб не зависит от кражи пароля какого-либо отдельного клиента.

Что это значит для вас

Самый важный момент касается того, где произошёл сбой. Судя по сообщениям, компрометация затронула собственную инфраструктуру и системы вывода биржи, а не устройство или интернет-соединение клиента.

Это имеет прямое следствие для одного распространённого совета. VPN шифрует трафик между вашим устройством и интернетом и может помочь в недоверенных сетях, таких как публичный Wi-Fi. Но VPN не остановил бы злоумышленника, эксплуатирующего уязвимость внутри серверов биржи. Это разумный инструмент приватности, а не защита от инцидента такого рода, и читателям следует скептически относиться к тем, кто представляет его именно так.

Что вы можете контролировать — это то, какой риск вы берёте на себя, храня активы на какой-либо одной платформе. Несколько практических моментов:

  • Хранение имеет значение. Средства, хранящиеся на бирже, зависят от безопасности этой биржи. Средства в кошельке, где ключи контролируете вы, — нет, хотя это несёт собственные обязанности.
  • Балансы на бирже — это подверженность риску. Деньги, которыми вы активно не торгуете, лучше хранить в другом месте, если вам комфортно управлять ими самостоятельно.
  • Защита аккаунта всё ещё важна. Она не решает проблему серверного zero-day, но блокирует гораздо более распространённые атаки, нацеленные на отдельных пользователей.

Практические шаги для снижения вашей подверженности риску

Вы не можете пропатчить серверы биржи, но можете ограничить, сколько может стоить вам единичный сбой.

  1. Пересмотрите, что вы держите на биржах. Переведите долгосрочные активы, которыми не планируете торговать, в хранилище, которое вы контролируете, например в аппаратный кошелёк, если вам комфортен самостоятельный кастодиальный контроль.
  2. Используйте надёжные уникальные пароли и менеджер паролей. Это защищает вас от кражи учётных данных, которая остаётся отдельным риском.
  3. Включите двухфакторную аутентификацию, предпочтительно с помощью приложения-аутентификатора или аппаратного ключа, а не SMS.
  4. Включите защиты для вывода средств, которые предлагает ваша платформа, например списки разрешённых адресов или задержки вывода, если они доступны.
  5. Следите за официальными коммуникациями. После инцидента мошенники часто выдают себя за пострадавшую компанию. Доверяйте только объявлениям из проверенных каналов и никогда не делитесь seed-фразами или кодами восстановления.
  6. Используйте VPN по правильным причинам. В публичных сетях он может снизить риск подслушивания, но рассматривайте его как один из слоёв, а не замену шагам выше.

Главное

Выводы SlowMist о взломе Bitget показывают, что крупной краже может предшествовать более ранняя, более тихая активность, и что злоумышленники, добравшиеся до систем вывода, могут причинить серьёзные потери. До публикации более полных технических деталей факты ограничиваются активностью 31 августа, характеристикой zero-day, манипуляцией системами вывода и суммой $388 млн.

Для отдельных пользователей вывод таков: снижайте зависимость от безопасности какой-либо одной платформы. Держите на биржах только необходимое, используйте надёжную защиту аккаунта и реалистично оценивайте, что могут и чего не могут делать такие инструменты, как VPN. Пересмотрите свою конфигурацию уже сегодня, начиная с того, сколько средств лежит на биржах и включены ли ваши механизмы защиты вывода.