Ущерб Bitget вырос с $352 млн до $388 млн, а дыра была не своя

Ущерб от сентябрьского взлома Bitget вырос до $388 млн против $352 млн, названных сразу после инцидента. Разница в $36 млн, или 10,2%, появилась за четыре дня — и это ровно та причина, по которой первую цифру в день происшествия не стоит считать окончательной. Деньги ушли с нескольких горячих кошельков 24 сентября, в тот же день биржа заметила переводы и остановила вывод средств.

“Мы понимаем, что THORChain работает как децентрализованный протокол и заявил, что не может выборочно вносить отдельные адреса в чёрный список.”

— Грейси Чен, Bitget

Грейси Чен, генеральный директор Bitget

Взлом Bitget устроен проще, чем принято думать. Что именно сломалось:

• Взломан был не кошелёк, а доверие к продукту: уязвимость нашлась в стороннем средстве защиты.
• Через него нападавшие получили внутренние учётные данные высокого уровня.
• С этими данными они отдали бирже команды на вывод, которые она исполнила как законные.
• Холодные кошельки и приватные ключи не пострадали.
• Продукт не назван, и это делает всех, кто им пользуется, слепыми.

Генеральный директор Грейси Чен говорит, что уязвимость позволила нападавшему получить внутренние учётные данные высокого уровня, а дальше он отдавал команды на вывод, которые биржа обрабатывала как законные. Никто ничего не взламывал в том смысле, в каком это обычно представляют: система сделала то, что ей велели, по указанию того, кому её убедили доверять. Холодное хранилище уцелело просто потому, что оно не принимает указаний по сети.

Поставщика не назвали

Отдельного внимания заслуживает то, о чём говорят меньше всего: уязвимый продукт не назван. Все остальные площадки, где он стоит, сейчас открыты дыре, которую не могут у себя найти, а умолчание бережёт поставщика за счёт всех, кто сидит на том же стеке. Похожая история была в сентябре, когда три инцидента вокруг Trezor за 28 дней прошли через подрядчиков, а не через сами устройства.

До чего заморозка не дотягивается

Часть активов удалось заморозить с помощью участников рынка, но Чен отмечает: THORChain как децентрализованный протокол не может выборочно вносить адреса в чёрный список. Положите это рядом с сегодняшним докладом Сената о Tether, который держится на обратном факте: централизованный эмитент заморозить может и заморозил $550 млн связанных с Ираном токенов за год. Деньги, дошедшие до маршрутизатора без хозяина, перестают быть возвратными, и маршрут нападавшего решает, в каком из этих двух миров они окажутся.

Сколько вернулось, Bitget не сообщает, позиции по компенсациям не публиковала. Расследование ведут Mandiant и SlowMist — пара имён, подходящая инциденту такого размера и одновременно намекающая, что внутреннего ответа не нашлось. За четыре дня изменилась только одна цифра, и изменилась она вверх. Следить стоит не за $388 млн, а за тем, какой окажется третья по счёту сумма и назовёт ли кто-нибудь продукт раньше, чем следующая биржа выяснит, что он стоял и у неё.

Только информация, не инвестиционная рекомендация. Расследование продолжается, сколько удалось вернуть, Bitget не раскрывает, а сумма ущерба уже один раз менялась.