Bitget-hacket: tidslinje, kundedekning og sporene etter pengene

Bitget har justert anslaget for verdiene som ble sendt til angriperkontrollerte adresser etter sikkerhetsbruddet 24. september, fra 351,6 millioner til rundt 387,5 millioner dollar. Kryptobørsen sier at kundetapene skal dekkes av selskapets User Protection Fund. Samtidig viser rapporter at midler ble flyttet via THORChain og andre tjenester. Det er fortsatt et viktig forbehold rundt selve angrepsmetoden: Enkelte medier har beskrevet et kompromittert system for administrasjon av lommebøker, men de tilgjengelige kildene inneholder ingen ferdig teknisk redegjørelse som bekrefter hele hendelsesforløpet.63342

Hva skjedde?

Bitget opplyste at selskapet oppdaget uautoriserte overføringer fra enkelte «hot wallets» klokken 18.31 UTC 24. september. I den første meldingen skrev børsen at deler av hot- og warm wallet-lagene var berørt, mens de såkalte cold wallet-lommebøkene var sikre. Det senere anslaget på rundt 387,5 millioner dollar bygger på videre sporing og klassifisering av verdier som ble sendt til adresser kontrollert av angriperne.216

En rapport beskrev hvordan angriperne skal ha kapret et system i bakgrunnen og sendt forfalskede overføringer inn i Bitgets signeringsprosess.33 Andre medier skrev at angrepsmetoden ikke var endelig klarlagt i påvente av en grundigere redegjørelse.42 Bitget har sagt at sårbarheten ble funnet og rettet, men det bekrefter ikke i seg selv alle detaljene i den rapporterte metoden.618

Tidslinje for uttak og gjenåpning

Bitget publiserte en plan for å åpne uttak i flere trinn. Tidspunktene er oppgitt i UTC. Planen var en tidsplan for gjenåpning, ikke en garanti for at alle uttak nødvendigvis ville være tilgjengelige nøyaktig på det oppgitte tidspunktet. Uttak av bitcoin skal ha blitt gjenåpnet 28. september klokken 08.00 UTC.420

Planlagt tidspunkt	Uttak
28. september kl. 08.00	BTC via Bitcoin og BSC
29. september kl. 08.00	ETH via Ethereum, BSC, Arbitrum, Base og Optimism
30. september kl. 08.00	USDT via Ethereum, BSC, Solana og Tron
2. oktober kl. 08.00	Andre tokens, fiat og P2P-uttak

Børsen sa at den gjennomførte flere sikkerhetskontroller av infrastrukturen for uttak før tjenestene ble gjenåpnet. Separat var Bitgets Onchain-handel midlertidig utilgjengelig mens en sikkerhetsgjennomgang pågikk. Meldingen som er sitert i kildene, oppga ingen konkret dato for når tjenesten skulle starte igjen.182017

Slik sier Bitget at kundetapene skal dekkes

Bitget har sagt at tapene omfattes av selskapets User Protection Fund, som ifølge rapporter var på rundt 464 millioner dollar på det aktuelle tidspunktet. Dette er børsens oppgitte løfte om dekning. Kildene viser ikke at erstatning til kundene allerede er ferdig utbetalt.46

Hvor tok de stjålne midlene veien?

Ifølge rapporter vekslet angriperen stjålet ETH til bitcoin via THORChain, en protokoll for bytte av verdier på tvers av blokkjeder. Bitget ba protokollen om å nekte tjeneste til adresser knyttet til angrepet, men THORChain avslo. Rapporter sa at midler fortsatte å bevege seg gjennom protokollen etterpå. Saken satte forsøk på å stanse flytting av mistenkte stjålne verdier opp mot THORChains modell, der tjenesten er åpen og ikke sentralt styrt.58

Circle og Tether skal ha fryst enkelte stablecoins knyttet til hendelsen. Én rapport oppga et beløp på rundt 318 000 dollar, mens en annen viste til cirka 339 000 dollar. Kildene forklarer ikke forskjellen, så tallene bør regnes som anslag og ikke som et endelig avklart beløp.23

Bitget lanserte også en dusørordning for å få hjelp til å spore og hente tilbake midler. Ordningen tilbyr separate belønninger på 5 prosent for kvalifisert hjelp til å fryse midler og 5 prosent for å få dem tilbake.19 En egen rapport sa at 4 BTC knyttet til angriperen ble sendt gjennom Wasabi CoinJoin, et verktøy for å gjøre transaksjonssporing vanskeligere.10 Dette er opplysninger om deler av sporingsarbeidet – ikke bevis på at hele beløpet er hentet tilbake.

Dette er fortsatt uklart

Bitget sier at sårbarheten er rettet, og at sikkerhetskontroller og sporing av midlene fortsetter. Mandiant og SlowMist bistår med etterforskningen.618 De tilgjengelige rapportene fastslår ikke hvem som sto bak angrepet. De viser heller ikke at hele beløpet er gjenfunnet, eller at alle kunder har fått eventuell kompensasjon.