Bitget потеряла $388 млн: как взламывают криптобиржи и что делать клиентам

Вечером 24 сентября злоумышленники увели с Bitget активы на $388 млн. Площадка остановила выплаты, подключила к расследованию Mandiant и SlowMist и пообещала покрыть ущерб из собственного фонда. Разбираем, как произошёл взлом криптобиржи, куда уходят украденные деньги и что делать клиентам.

Что случилось с Bitget

Подозрительные переводы заметили ончейн-аналитики ещё до официального заявления. По подсчётам Bubblemaps, за 15 крупных транзакций неизвестные вывели около $192 млн в семи активах. В сети Arbitrum примерно 19,67 млн стейблкоинов USDT0 за шесть минут обменяли на 7111 эфиров, переплатив до 5% к рыночной цене: похитители торопились.

Биржа включила аварийный протокол и приостановила отправку средств для дополнительных проверок. Первая оценка ущерба составляла $351,6 млн. После сверки транзакций в сетях Zcash и TRON её повысили до $388 млн, уточнив, что речь о тех же операциях, а не о новых кражах.

По заявлению Bitget, балансы клиентов не пострадали, а потери закроет фонд защиты пользователей объёмом больше $464 млн. Часть похищенного уже удалось заморозить.

Как хакеры обошли защиту

По итогам расследования атакующие нашли уязвимость в стороннем продукте безопасности и получили привилегированные внутренние учётные данные. С ними они отправляли в систему хранения поддельные команды на вывод, и переводы прошли в обход механизмов контроля рисков. Перед основной атакой злоумышленник проверил эти механизмы небольшими переводами. Приватные ключи и холодные хранилища, как утверждает компания, остались целы. Иначе говоря, атака шла не на блокчейн и не на ключи, а на доверие системы к собственным командам: поддельный запрос выглядел как штатный.

Гендиректор Bitget Грейси Чен связывает нападение с КНДР: специалисты нашли IP-адреса VPN-сервисов, которыми раньше пользовалась одна из северокорейских группировок, а сама схема похожа на их прошлые операции. Официальный отчёт о безопасности компания обещает опубликовать на этой неделе.

Куда уходят украденные деньги

Похищенные токены быстро обменивают на эфир и прогоняют через децентрализованные сервисы. Чен попросила протокол THORChain перестать обслуживать адреса атакующего, но разработчики отказались: по их словам, архитектура сети не предполагает цензуры. Протокол NEAR Intents, напротив, заявил, что заблокировал $50 млн, связанных с атакой. Блокчейн-детектив ZachXBT нашёл пять посредников, через которых отмывают деньги после взлома. Скорость здесь не случайна: чем дольше токены лежат на адресах атакующего, тем выше шанс, что их заморозят, поэтому их обменивают за минуты, даже переплачивая.

Когда Bitget вернёт выплаты

Площадка открывает отправку активов поэтапно, время указано по UTC:

• биткоин - с 28 сентября, в первые часы обработали 9585 заявок примерно на 4098 BTC;
• эфир - с 29 сентября, 08:00;
• USDT - с 30 сентября, 08:00;
• остальные токены, фиат и P2P - со 2 октября, 08:00.

В первые дни очередь заявок растёт, поэтому крупную сумму лучше не отправлять разом: сначала пробный перевод, затем остаток.

Почему атакуют именно биржи

Площадка держит на своих адресах средства тысяч клиентов, поэтому одна удачная атака приносит сотни миллионов долларов. Активы обычно делят на две части. Горячий кошелек подключён к сети, в нём лежит небольшой запас для ежедневных выплат, основная часть лежит офлайн, в холодных хранилищах. Нападают на горячую часть и на процессы, через которые её пополняют и подписывают переводы.

От последствий клиентов защищают два механизма. Первый - резервные фонды вроде того, из которого Bitget покрывает ущерб. Второй - доказательство резервов, или proof of reserves: площадка регулярно публикует данные, по которым любой клиент проверяет, что его монеты есть на балансе.

Самые дорогие взломы

Почти в каждом случае атакуют не блокчейн, а внутреннюю кухню: процесс подписи транзакций, серверы, доступы сотрудников. Во время взлома Bybit, например, подменили интерфейс, через который подписывали перевод.

Что делать, если биржу взломали

1. Следите только за официальными каналами. После каждого громкого инцидента приходит волна фишинга: «поддержка» в мессенджерах предлагает «вернуть деньги» или «перенести баланс». Подробнее о таких схемах - в разборе фишинга в криптовалюте.
2. Сохраните доказательства. Скриншоты баланса и истории операций пригодятся, если придётся подтверждать требования.
3. Проверьте API-ключи и активные сессии. Удалите всё, что не используете.
4. Включите белый список адресов. Тогда даже с украденным доступом отправить монеты можно будет только на заранее одобренные адреса.
5. Не продавайте в панике. Если компания заявила, что покрывает ущерб, распродажа по заниженной цене только добавит потерь.
6. Не держите на площадке больше, чем нужно для торговли. Как забрать монеты без ошибок, мы разбирали в статье о выводе криптовалюты с биржи.