SlowMist révèle la méthode d’attaque du piratage de Bitget

La société de sécurité SlowMist a publié les premières conclusions de son enquête sur le piratage de la plateforme d’échange de cryptomonnaies Bitget du 25 septembre. L’attaquant a exploité une vulnérabilité zero-day dans un produit de sécurité externe, est parvenu à accéder à une plateforme de gestion via l’identité d’un collaborateur interne et a utilisé un outil sur mesure pour détourner des cryptomonnaies. Les transferts ont eu lieu sur plusieurs chaînes de blocs en l’espace de près de trois heures.

En bref :

• SlowMist identifie une vulnérabilité zero-day dans un produit de sécurité externe comme élément de l’attaque contre Bitget.
• L’attaquant a utilisé un programme personnalisé adapté à la fonctionnalité de retrait de Bitget.
• Les transferts ont commencé à 02:31 le 25 septembre et ont duré environ deux heures et 52 minutes.

La faille zero-day déjà active depuis le 31 août

Les journaux montrent que la première activité malveillante a eu lieu dès le 31 août. Un service sur l’un des nœuds d’un produit de sécurité externe a été touché par une vulnérabilité zero-day, une faille que l’éditeur n’a pas encore corrigée. L’attaquant a exécuté, via un script caché, une commande pour récupérer les mots de passe de la base de données et s’y connecter. Les 23 et 25 septembre, une activité similaire a été observée sur deux autres nœuds.

Au petit matin du 25 septembre, l’attaquant s’est connecté à la plateforme de gestion d’un deuxième produit de sécurité externe avec l’identité d’un collaborateur interne. À partir de 00:07, l’attaquant a fait trois tentatives successives pour injecter des commandes malveillantes dans les paramètres de tâches de cette plateforme, dans le but d’écrire des fichiers malveillants et de créer un fichier de communication.

Un programme personnalisé a lancé le vol à 01:49

Une découverte marquante est un programme fortement personnalisé que l’attaquant avait supprimé mais que SlowMist a réussi à retrouver. Le programme était spécifiquement conçu pour la logique de retrait du système de portefeuille de Bitget : il falsifiait les paramètres de gestion des risques, assemblait des demandes de retrait et activait le processus de retrait. Selon les journaux, le programme a commencé à détourner réellement des cryptomonnaies à 01:49 le 25 septembre.

Sur la chaîne de blocs, le premier transfert confirmé est enregistré à 02:31:00, lorsque l’adresse de l’attaquant a reçu 93 TRX. Onze secondes plus tard, une adresse Ethereum a reçu 0,84 ETH. Les transferts se sont poursuivis jusqu’à 05:23:11 et ont eu lieu sur plusieurs chaînes de blocs. Auparavant, le courtier Chainflip avait déjà refusé de transférer des fonds Bitget volés.

Après les transferts, l’attaquant a également tenté de modifier directement les enregistrements de retrait dans la base de données du portefeuille et d’activer de nouveaux ordres de retrait. Les journaux montrent que deux ordres de retrait Bitcoin falsifiés ont été mis en traitement mais ont généré des erreurs. L’attaquant a ensuite vérifié les journaux et l’état des ordres et effectué d’autres tentatives. Cette activité a eu lieu après 05:22.

Bitget indique reconnaître les conclusions de SlowMist comme faisant partie du parcours d’attaque que l’entreprise avait déjà publié. La société de sécurité précise poursuivre son enquête, notamment sur la manière dont l’attaquant s’est déplacé entre les systèmes concernés. Auparavant, NEAR Intents avait déjà bloqué 50 millions de dollars de flux financiers suspects après le piratage.