Bitget cho biết lỗ hổng sản phẩm bảo mật bên thứ ba bị khai thác để chiếm đoạt 388 triệu USD
"Bitget said an attacker stole about $388 million after exploiting a flaw in a third-party security product used by the exchange, gaining access to internal management credentials and issuing fraudulent withdrawal commands. The incident affected hot and warm wallet infrastructure, while cold wallets and customer account balances were not impacted; Bitget isolated affected systems, revoked credentials, disabled the affected functionality, and said its protection fund will cover the loss."
Rủi ro cao do lỗ hổng bên thứ ba có thể dẫn tới chiếm quyền quản trị và rút tiền trái phép; sự cố cho thấy cần tăng kiểm soát với hot wallet và quy trình phê duyệt giao dịch.
Tác động lớn đến uy tín vận hành và chi phí bồi hoàn; việc khôi phục dịch vụ theo giai đoạn có thể ảnh hưởng dòng rút tiền và hoạt động giao dịch ngắn hạn.
Sàn giao dịch tiền mã hóa Bitget cho biết kẻ tấn công đã khai thác một lỗ hổng trong sản phẩm bảo mật của bên thứ ba mà sàn đang sử dụng để lấy được thông tin xác thực quản trị nội bộ và phát lệnh rút tiền giả mạo. Theo Bitget, sự cố dẫn tới thiệt hại khoảng 388 triệu USD và ảnh hưởng đến một phần hạ tầng hot wallet và warm wallet; cold wallet và số dư tài khoản khách hàng không bị tác động.
Bitget cho biết hệ thống bị ảnh hưởng đã bị cô lập, các credential liên quan đã được thu hồi và cấp lại, đồng thời chức năng bị ảnh hưởng đã được vô hiệu hóa trong khi chờ khắc phục. Sàn cũng nói rằng Protection Fund sẽ dùng để bù đắp tổn thất.
Về mặt kỹ thuật, Bitget cho biết kẻ tấn công đã thực hiện các giao dịch thử nhỏ trước khi chuyển sang các lệnh lớn hơn, qua đó vượt qua một số cơ chế risk control. Công ty đang phối hợp với Mandiant và SlowMist, đồng thời dự kiến công bố báo cáo sự cố chính thức trong tuần này.
Khuyến nghị cho các tổ chức vận hành ví và sàn giao dịch: rà soát quyền truy cập nội bộ, tách kiểm tra độc lập cho lệnh rút tiền, giám sát bất thường trên backend và đánh giá lại quy trình triển khai sản phẩm bảo mật của bên thứ ba.