Theo Cointelegraph, SlowMist đã truy vết hoạt động tấn công độc hại sớm nhất liên quan đến vụ trộm 388 triệu USD của Bitget từ ngày 31 tháng 8, thời điểm kẻ tấn công lợi dụng một lỗ hổng zero-day ảnh hưởng đến một sản phẩm bảo mật của bên thứ ba.
Kẻ tấn công đã chiếm đoạt số tiền này từ các ví nóng của Bitget vào ngày 24 tháng 9 (giờ UTC), chuyển tài sản đến các địa chỉ do chúng kiểm soát trên nhiều blockchain khác nhau. Cuộc điều tra của SlowMist đã xác định hoạt động độc hại liên quan đến hai sản phẩm bảo mật của bên thứ ba và một máy chủ ứng dụng ví.
Dựa trên báo cáo tiến độ của SlowMist, kẻ tấn công đã sử dụng một script ẩn để truy cập cơ sở dữ liệu của ‘Sản phẩm A’ (theo cách SlowMist gọi), sau khi lấy mật khẩu từ một biến môi trường. Hoạt động tương tự sau đó cũng được phát hiện trên hai nút khác vào ngày 23 và 25 tháng 9. Các ngày và giờ trong báo cáo được tính theo múi giờ UTC+8.
Vào ngày 25 tháng 9, kẻ tấn công còn truy cập nền tảng quản lý của một sản phẩm bảo mật thứ hai, được SlowMist gọi là ‘Sản phẩm B’, bằng cách sử dụng danh tính của một nhân viên nội bộ. SlowMist cho biết kẻ tấn công sau đó đã cố gắng chèn các lệnh hệ thống, thay đổi cấu hình máy chủ và tải lên các tệp chương trình độc hại.
SlowMist khẳng định cuộc điều tra vẫn đang tiếp diễn và họ vẫn đang xem xét cách kẻ tấn công di chuyển giữa các hệ thống bị ảnh hưởng.
Kẻ Tấn Công Sử Dụng Công Cụ Rút Tiền Tùy Chỉnh
Công ty bảo mật này cho biết họ đã khôi phục một công cụ tùy chỉnh cao, đã bị xóa, được dùng để thao túng quy trình rút tiền của hệ thống ví. Công cụ này đã làm giả các thông số kiểm soát rủi ro, tạo ra các yêu cầu rút tiền và kích hoạt quy trình rút tiền.
Xác minh trên chuỗi của SlowMist cho thấy giao dịch sớm nhất được xác minh đến nay là vào lúc 2:31 sáng UTC+8 ngày 25 tháng 9, khi một địa chỉ do kẻ tấn công kiểm soát nhận 93 TRX, sau đó 11 giây là 0.84 Ether trên mạng Ethereum. Các hồ sơ chuyển tiền được tổng hợp kéo dài khoảng hai giờ 52 phút trên nhiều blockchain, kéo dài đến 5:23 sáng cùng ngày.
Kẻ tấn công cũng đã cố gắng sửa đổi trực tiếp các bản ghi rút tiền trong cơ sở dữ liệu ví và kích hoạt các yêu cầu rút Bitcoin bổ sung. SlowMist cho biết hai lệnh rút BTC bị làm giả đã được xử lý nhưng trả về lỗi, sau đó kẻ tấn công đã xem xét nhật ký, kiểm tra trạng thái lệnh và thực hiện các nỗ lực tiếp theo.
Liên quan: CEO Bitget nghi Triều Tiên đứng sau vụ hack 352 triệu USD, trích dẫn manh mối IP
Trong một cập nhật ngày 25 tháng 9, Bitget cho biết khoảng 387.5 triệu USD đã được chuyển đến các địa chỉ do kẻ tấn công kiểm soát trên nhiều mạng lưới.
CEO Bitget, Gracy Chen, sau đó đã nói với Cointelegraph rằng vụ vi phạm xuất phát từ một lỗ hổng trong sản phẩm bảo mật của bên thứ ba, cho phép kẻ tấn công có được “thông tin đăng nhập nội bộ cấp cao” và phát lệnh rút tiền gian lận. Cô khẳng định các khóa riêng tư và ví lạnh của Bitget không bị xâm phạm.
Bitget vẫn đang nỗ lực thu hồi tài sản bị đánh cắp. Chia sẻ trên chương trình Chain Reaction của Cointelegraph, Chen cho biết cô “không mấy lạc quan” về việc thu hồi hoàn toàn khoảng 388 triệu USD bị mất, dẫn chứng sự thu hồi hạn chế từ vụ hack Bybit năm 2025 làm điểm tham chiếu.
Tạp chí: Mùa Altcoin sắp đến – và các nhà giao dịch đang trở nên tinh tường hơn
Nguồn: Cointelegraph – SlowMist traces Bitget hack activity to Aug. 31 zero-day exploit
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
