Bitget потеряла $388 млн из-за уязвимости в стороннем security-продукте

Криптовалютная биржа Bitget раскрыла детали крупного инцидента: злоумышленник, похитивший порядка $388 млн, проник в инфраструктуру не через прямой взлом периметра компании, а через уязвимость в стороннем продукте безопасности, который биржа использовала в своей защитной цепочке. Об этом представители площадки сообщили в понедельник. Случай в очередной раз демонстрирует, что даже зрелые защитные контуры зависят от надёжности внешних поставщиков, а компрометация одного звена может открыть путь к критичным внутренним системам.

Подробности

По данным Bitget, атакующий эксплуатировал flaw в стороннем security-продукте, чтобы получить внутренние учётные данные высокого уровня. Эти привилегии дали ему возможность взаимодействовать с кошельковой системой биржи от лица доверенного внутреннего пользователя. 24 сентября злоумышленник использовал полученные credentials для отправки мошеннических команд на вывод средств — именно эти операции и привели к потере около $388 млн. Ключевые технические моменты, известные на текущий момент: - Вектор атаки — уязвимость в стороннем продукте безопасности, а не в собственных сервисах Bitget. - Промежуточная цель — получение внутренних учётных данных с высоким уровнем привилегий. - Финальное воздействие — отправка поддельных withdrawal-команд в wallet-систему биржи 24 сентября. Название уязвимого продукта, его вендор, версии, затронутые компоненты и идентификатор CVE в исходном сообщении не раскрываются. Биржа также не уточнила, сколько именно транзакций было проведено и какая часть похищенных средств впоследствии отслеживается или заморожена. Дополнительно неизвестно, использовались ли MFA и другие механизмы подтверждения операций при прохождении мошеннических выводов, а также были ли задействованы API-ключи или внутренние сервисные учётные записи. Отдельно стоит отметить, что биржи традиционно хранят большую часть активов пользователей в холодных кошельках, а «горячие» сегменты используют для операционной ликвидности. Это ограничивает объём единовременных потерь, однако не защищает от компрометации внутренних привилегий: если атакующий действует от имени легитимного сотрудника или сервиса, привычные периметровые средства защиты могут не сработать. Инцидент подчёркивает важность принципа least privilege, изоляции подписывающих компонентов и независимого контроля исходящих транзакций.

Что делать

Для организаций, работающих с криптоактивами и критичными финансовыми операциями, инцидент даёт ряд практических выводов. Во-первых, проведите аудит сторонних security-продуктов, включённых в доверенный контур. Уточните у вендоров наличие известных уязвимостей, сроки выпуска патчей и порядок уведомления об инцидентах. Введите требования к SBOM и регулярному пентесту для критичных внешних компонентов. Во-вторых, ограничьте и пересмотрите привилегии внутренних учётных записей. Доступ к кошельковым системам и подписывающим сервисам должен выдаваться по принципу минимально необходимых прав, с обязательным MFA, аппаратными ключами и короткоживущими токенами вместо долгосрочных статических credentials. В-третьих, внедрите многоуровневое подтверждение исходящих транзакций: лимиты на суммы, ручное или мультиподписное одобрение крупных выводов, аномалийную детекцию по поведению и времени операций, а также независимый мониторинг wallet-активности в режиме, близком к реальному времени. В-четвёртых, убедитесь, что инцидент-реагирование включает сценарии компрометации третьей стороны. Это предполагает быструю ротацию ключей, изоляцию затронутых интеграций, проверку журналов доступа к внутренним системам и готовность оперативно приостанавливать вывод средств при подозрении на аномалию. Наконец, пользователям стоит учитывать риски централизованного хранения: диверсификация площадок, использование аппаратных кошельков для долгосрочного хранения и включение всех доступных средств защиты аккаунта снижают потенциальный ущерб. Итог: потеря $388 млн через уязвимость в стороннем security-продукте показывает, что защита биржи не может быть прочнее самого слабого звена в её цепочке поставщиков. Контроль привилегий и независимая верификация транзакций остаются базовыми мерами против подобных атак.

Источник: The Hacker News