Šta se desilo?

Bitget je potvrdio neovlašćene transfere iz dela hot i warm novčanika 24. septembra 2026. Početna procena od 351,6 miliona dolara povećana je 25. septembra na oko 387,5 miliona, dok kasnija saopštenja koriste zaokružen iznos od približno 388 miliona dolara. Berza navodi da revizija iznosa obuhvata dodatno evidentirane transfere iz istog incidenta, a ne novi napad.

Isplate su bile privremeno obustavljene. Bitget je 2. oktobra potvrdio da je završen najavljeni plan postepenog vraćanja isplata tokena, fiat i C2C usluga.

Koga pogađa?

Incident se odnosi na infrastrukturu centralizovane berze Bitget. Prema njenim saopštenjima, cold novčanici i zaseban proizvod Bitget Wallet nisu pogođeni. Kompanija navodi da korisnička stanja nisu umanjena i da finansijski teret incidenta pokriva njen fond za zaštitu korisnika.

Tvrdnje o pokriću i stanju računa treba pripisati berzi. Bitget je 30. septembra objavio da je fond ponovo dopunjen na više od 300 miliona dolara; ranije navođenih 464 miliona nije aktuelna nepromenljiva vrednost fonda.

Kako se zaštititi?

  • Dostupnost konkretne mreže i funkcije proverite unutar zvanične Bitget aplikacije ili sajta.
  • Ne koristite nezvanične kanale koji nude prioritetnu isplatu ili povraćaj sredstava.
  • Ne delite lozinke, kodove za višefaktorsku autentifikaciju, privatne ključeve ili fraze za oporavak.
  • Pregledajte istoriju naloga i prijavite transakcije koje ne prepoznajete zvaničnoj podršci.

Tehnički detalji

Mandiantov izveštaj od 28. septembra, koji je Bitget objavio 30. septembra, opisuje neovlašćeni privilegovani pristup dvama bezbednosnim uređajima treće strane. Na jednom je postavljen web shell i uspostavljena komandno-kontrolna veza. Napadač je zatim pristupio produkcionom serveru koji obrađuje poslove novčanika i postavio zlonamerne pakete.

Bitget navodi da su neovlašćene instrukcije za isplatu zaobišle postojeće kontrole rizika. Prema istrazi koju je kompanija opisala, kompromitovanje privatnih ključeva je isključeno. To ne umanjuje značaj kompromitovanja sistema koji zahtevaju i obrađuju legitimno potpisane transakcije.

Berza je prijavila izolaciju pogođenih sistema, zamenu internih pristupnih podataka i jačanje provere isplata. Navodi i da je obavestila dobavljača bezbednosnog proizvoda i isključila pogođenu funkcionalnost. U proverenim objavama nisu javno imenovani taj proizvod, CVE identifikator niti verzija zakrpe. Identitet napadača nije potvrđen ovim izveštajima.

Zašto je važno?

Zaštita privatnih ključeva nije dovoljna ako napadač može da preuzme sisteme koji odobravaju i šalju zahteve za transakcije. Incident pokazuje potrebu za nezavisnim proverama isplata, ograničavanjem privilegija i nadzorom bezbednosnih uređaja dobavljača.

Preporuka Sajber Radara

Za stanje usluga koristite poslednja datirana saopštenja, jer početna obaveštenja o obustavi više ne opisuju aktuelno stanje. Ne prihvatajte poruke koje traže pristupne podatke ili uplatu naknade radi navodnog otključavanja sredstava.