Фірма з блокчейн-безпеки SlowMist опублікувала висновки щодо зламу Bitget на $388 млн, пов'язавши шкідливу активність із 31 серпня та описавши, як зловмисники згодом маніпулювали системами виведення коштів. Розслідування вказує на експлойт нульового дня, тобто вразливість, яка була невідома захисникам платформи на момент її першого використання.

Публічне резюме коротке, а деталі обмежені. Цей допис дотримується лише того, що було повідомлено, пояснює, чому ці висновки важливі, та відокремлює корисні захисні кроки від порад, які звучать корисно, але не змінили б результату.

Що SlowMist повідомила про злам Bitget

Згідно з повідомленням, SlowMist виявила шкідливу активність, пов'язану зі зламом Bitget, яка сягає 31 серпня. Це важливо, оскільки свідчить про те, що вторгнення не почалося в момент переміщення коштів. Активність була виявлена раніше в хронології, а пізніша крадіжка сталася після того, як зловмисники вже закріпилися в системі.

SlowMist також детально описала, як зловмисники згодом маніпулювали системами виведення коштів. У практичному сенсі системи виведення — це механізми контролю, які визначають, чи є запит на переміщення коштів з біржі легітимним. Втручання в них може дозволити зловмиснику провести перекази, які звичайні перевірки мали б зупинити.

Загальна сума, вказана для цього інциденту, становить $388 млн. У резюме не розкрито технічні подробиці нульового дня, точну послідовність подій або те, яку частину коштів вдалося повернути чи відстежити, тому ми не будемо здогадуватися про ці деталі. Читачам слід сприймати цю картину як попередню, доки не буде опубліковано повніші технічні висновки.

Чому експлойти нульового дня важко відбити

Експлойт нульового дня націлений на слабкість, про яку постачальник або оператор платформи ще не знає. Немає патча для встановлення і немає сигнатури, яку могли б шукати засоби безпеки, що дає зловмисникам вікно для тихої роботи.

Повідомлена хронологія — корисне нагадування про те, як зазвичай розгортаються такі інциденти. Шкідлива активність може перебувати в системі задовго до появи видимих збитків. Та сама модель терплячого, поетапного вторгнення простежується в інших нещодавніх загрозах, як-от автоматизований ланцюг атак, описаний у нашому матеріалі про JADEPUFFER та програм-вимагачів, що працюють без людей. Різні цілі, схожий урок: активність на ранній стадії часто є найкращим шансом виявити атаку, і її легко пропустити.

Аспект систем виведення коштів важливий з конкретної причини. Біржі покладаються на шари схвалень і моніторингу вихідних коштів. Якщо зловмисник може маніпулювати цим шаром, збитки не залежать від крадіжки пароля окремого клієнта.

Що це означає для вас

Найважливіший момент стосується того, де сталася невдача. Виходячи з повідомлення, компрометація торкнулася власної інфраструктури біржі та систем виведення коштів, а не пристрою чи інтернет-з'єднання клієнта.

Це має прямий наслідок для однієї поширеної поради. VPN шифрує трафік між вашим пристроєм та інтернетом і може допомогти в ненадійних мережах, як-от публічний Wi-Fi. Але VPN не зупинив би зловмисника, який використовує вразливість усередині серверів біржі. Це розумний інструмент для приватності, а не захист від інцидентів такого роду, і читачам слід скептично ставитися до тих, хто подає його саме так.

Те, що ви можете контролювати, — це те, який ризик ви берете на себе, тримаючи активи на одній платформі. Кілька практичних моментів:

  • Зберігання має значення. Кошти, що зберігаються на біржі, залежать від безпеки цієї біржі. Кошти в гаманці, де ви контролюєте ключі, — ні, хоча вони несуть власну відповідальність.
  • Баланси на біржі — це експозиція. Гроші, якими ви активно не торгуєте, краще тримати в іншому місці, якщо вам комфортно керувати ними самостійно.
  • Захист акаунта все одно важливий. Він не вирішує проблему серверного нульового дня, але блокує значно поширеніші атаки, націлені на окремих користувачів.

Практичні кроки для зменшення вашої експозиції

Ви не можете пропатчити сервери біржі, але можете обмежити, скільки може коштувати вам один збій.

  1. Перегляньте, що ви тримаєте на біржах. Перемістіть довгострокові активи, які ви не плануєте торгувати, у сховище, яке ви контролюєте, як-от апаратний гаманець, якщо вам комфортний самостійний кастодіальний супровід.
  2. Використовуйте надійні унікальні паролі та менеджер паролів. Це захищає вас від крадіжки облікових даних, яка залишається окремим ризиком.
  3. Увімкніть двофакторну автентифікацію, бажано за допомогою застосунку-автентифікатора або апаратного ключа замість SMS.
  4. Увімкніть засоби захисту виведення коштів, які пропонує ваша платформа, як-от списки дозволених адрес або затримки виведення, якщо вони доступні.
  5. Стежте за офіційними комунікаціями. Після інциденту шахраї часто видають себе за постраждалу компанію. Довіряйте лише оголошенням із перевірених каналів і ніколи не діліться seed-фразами чи кодами відновлення.
  6. Використовуйте VPN із правильних причин. У публічних мережах він може зменшити ризик підслуховування, але ставтеся до нього як до одного шару, а не заміни кроків, наведених вище.

Підсумок

Висновки SlowMist щодо зламу Bitget показують, що великій крадіжці може передувати раніша, тихіша активність, і що зловмисники, які дістаються до систем виведення коштів, можуть завдати серйозних збитків. Доки не буде опубліковано повніших технічних деталей, факти обмежуються активністю 31 серпня, характеристикою нульового дня, маніпуляцією з виведенням коштів і сумою $388 млн.

Для окремих користувачів висновок полягає в тому, щоб зменшити залежність від безпеки будь-якої однієї платформи. Тримайте на біржах лише те, що вам потрібно, використовуйте надійний захист акаунта і тверезо оцінюйте, що можуть і чого не можуть робити такі інструменти, як VPN. Перегляньте власні налаштування вже сьогодні, починаючи з того, скільки коштів лежить на біржах і чи увімкнено ваші засоби захисту виведення коштів.