פריצת Bitget: מה קרה, מתי חודשו המשיכות ולאן נע הכסף?

Bitget עדכנה את אומדן הנכסים שהועברו לכתובות בשליטת התוקפים בפריצה ב־24 בספטמבר לכ־387.5 מיליון דולר, לעומת אומדן ראשוני של 351.6 מיליון. הבורסה אומרת שקרן ההגנה למשתמשים שלה תכסה את הפסדי הלקוחות. במקביל, דיווחים על מעקב אחר הכספים מתארים תנועות דרך THORChain ושירותים נוספים. עם זאת, אופן הפריצה המדויק עדיין אינו מבוסס במלואו: דיווחים חיצוניים תיארו פגיעה במערכת ארנקי backend, אך במקורות הזמינים אין תיאור טכני סופי המאשר את השתלשלות האירועים הזו.63342

מה ידוע על הפריצה?

Bitget מסרה שמערכות האבטחה שלה זיהו העברות לא מורשות מחלק מהארנקים החמים בשעה 18:31 לפי UTC, ב־24 בספטמבר. בהודעה הראשונית נאמר כי חלקים משכבות הארנקים החמים והבינוניים נפגעו, ואילו הארנקים הקרים נותרו מאובטחים. האומדן המעודכן, כ־387.5 מיליון דולר, משקף בדיקה וסיווג נוספים של נכסים שנשלחו לכתובות שבשליטת התוקפים.216

דיווח אחד תיאר את התקיפה כהשתלטות על מערכת ארנקי backend, שאפשרה לתוקפים להזין העברות מזויפות לתהליך החתימה של Bitget.33 דיווחים אחרים ציינו כי וקטור התקיפה טרם הובהר במלואו, עד לפרסום תחקיר מקיף יותר.42 Bitget מסרה שאיתרה את הפגיעוּת הבסיסית ותיקנה אותה, אך ההודעה הזו אינה מאשרת כשלעצמה את כל הפרטים שתוארו בדיווחים על שיטת התקיפה.618

לוח הזמנים לחידוש המשיכות והשירותים

Bitget פרסמה תוכנית לחידוש הדרגתי של המשיכות, לפי שעון UTC. מדובר בלוח זמנים מתוכנן לחזרת השירותים, ולא בהבטחה שכל משיכה תהיה זמינה בדיוק בשעה שנקבעה. לפי הדיווחים, משיכות ביטקוין חודשו ב־28 בספטמבר בשעה 08:00 UTC.420

מועד מתוכנן (UTC)	שירותי משיכה
28 בספטמבר, 08:00	BTC ברשתות Bitcoin ו־BSC
29 בספטמבר, 08:00	ETH ברשתות Ethereum, BSC, Arbitrum, Base ו־Optimism
30 בספטמבר, 08:00	USDT ברשתות Ethereum, BSC, Solana ו־Tron
2 באוקטובר, 08:00	מטבעות נוספים, משיכות לפיאט ומשיכות P2P

Bitget אמרה שהיא מבצעת בדיקות אבטחה נוספות בתשתית המשיכות לפני החזרת השירותים. בנפרד, שירות המסחר Onchain של הבורסה הושבת זמנית במהלך בדיקת אבטחה, ובהודעה המצוטטת לא נמסר מועד ספציפי לחידושו.182017

איך Bitget מתכוונת לכסות את הפסדי הלקוחות?

Bitget מסרה שההפסד נכלל בכיסוי של קרן ההגנה למשתמשים שלה, ששווייה הוערך בדיווחים בכ־464 מיליון דולר באותה עת. זו התחייבות שעליה הצהירה הבורסה; המקורות הזמינים אינם מוכיחים שפיצוי הלקוחות כבר הושלם.46

לאן הגיעו הכספים שהועברו?

דיווחים תיארו את התוקף ממיר ETH שנגנב לביטקוין באמצעות THORChain — פרוטוקול להחלפה בין רשתות בלוקצ'יין. Bitget ביקשה מהפרוטוקול למנוע שירות מכתובות הקשורות לפריצה, אך THORChain סירב; לפי הדיווחים, הכספים המשיכו לעבור דרכו לאחר מכן. המקרה הציף מחלוקת בין הניסיון לעצור תנועה של נכסים החשודים כגנובים לבין אופן הפעולה חסר ההרשאות של THORChain.58

לפי דיווחים, Circle ו־Tether הקפיאו חלק מהמטבעות היציבים הקשורים לאירוע. בדיווח אחד הוערך הסכום בכ־318 אלף דולר, ובאחר בכ־339 אלף דולר. המקורות שסופקו אינם מיישבים את הפער, ולכן יש להתייחס למספרים כהערכות ולא כסכום סופי ומוסכם.23

Bitget השיקה גם תוכנית תגמול להשבת כספים, המציעה תגמולים נפרדים של 5% למי שיסייעו בהקפאת כספים כשירים ובשחזורם.19 דיווח נפרד מסר כי 4 BTC הקשורים לתוקף הועברו דרך Wasabi CoinJoin, כלי לשיפור הפרטיות.10 אלה דיווחים על חלקים ממאמצי המעקב — לא על השבת מלוא הסכום.

מה עדיין לא ברור?

Bitget אומרת שהפגיעוּת תוקנה, ושבדיקות האבטחה ומעקב הכספים נמשכים, בסיוע חברות אבטחת הסייבר Mandiant ו־SlowMist.618 הדיווחים הזמינים אינם מבססים ייחוס מאומת של התקיפה לגורם מסוים. כמו כן, אין בהם אישור שהסכום כולו הושב או שכל הלקוחות כבר קיבלו פיצוי.