Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft
The Hacker News · 1 oct, 07:21
La bolsa de criptomonedas Bitget confirmó que atacantes robaron $387,5 millones explotando una vulnerabilidad zero-day en productos de seguridad de terceros. El ataque, vinculado a actores norcoreanos, comprometió credenciales internas, permitió movimientos laterales hacia los servidores de billetera y ejecutó transferencias fraudulentas que eludieron controles de riesgo. Se afectaron 11 blockchains y activos en múltiples criptodivisas.
Según el análisis de SlowMist y Mandiant, la actividad maliciosa comenzó el 31 de agosto de 2026 cuando un servicio en los nodos de un producto de seguridad (Producto A) fue explotado por la vulnerabilidad zero-day. El atacante ejecutó scripts ocultos, extrajo variables de entorno con credenciales de base de datos y obtuvo acceso inicial. El 25 de septiembre, el actor de amenaza accedió a la plataforma de gestión de otro producto (Producto B) utilizando identidad de empleado interno e inyectó comandos del sistema para escribir archivos maliciosos.
Mandiant confirmó que los atacantes desplegaron web shells en el dispositivo de seguridad B, establecieron conexiones C2 persistentes y movieron lateralmente hacia el servidor de trabajos de billetera de Bitget. Utilizaron un herramienta personalizada, recuperada entre archivos eliminados, específicamente diseñada para la lógica de retirada del sistema de billetera. El robo ejecutó a las 01:49 a.m. del 25 de septiembre. El incidente afectó a XRP, ETH, USDT, ZEC, ATOM, USDC y otras criptodivisas en blockchains como Ethereum, TRON, Arbitrum, Optimism y BNB Smart Chain. Circle, Tether y NEAR Intents congelaron aproximadamente $632.700 en activos.
Puntos clave
- Vulnerabilidad zero-day en productos de seguridad de terceros (Producto A)
- Acceso lateral mediante producto de seguridad B hacia servidor de billetera de producción
- Herramienta personalizada para ejecutar retiros fraudulentos en múltiples blockchains
- Actores norcoreanos identificados mediante análisis de patrones de IP y direcciones on-chain
- $387,5 millones robados; $632.700 congelados por proveedores de stablecoin
Figuras de la fuente
