SlowMist는 Bitget의 3억 8,800만 달러 규모 자산 탈취와 관련된 가장 이른 기록상 악성 활동이 8월 31일로 거슬러 올라간다고 밝혔다. 당시 공격자는 제3자 보안 제품에 영향을 미치는 제로데이 취약점을 악용했다.

공격자들은 9월 24일(UTC) Bitget의 핫월렛에서 자금을 탈취해 여러 블록체인에 걸쳐 자신들이 통제하는 주소로 자산을 이전했다. SlowMist의 조사에서는 두 개의 제3자 보안 제품과 지갑 애플리케이션 호스트가 관련된 악성 활동이 확인됐다.

SlowMist의 진행 보고서에 따르면, 공격자는 환경 변수에서 비밀번호를 확보한 뒤 숨겨진 스크립트를 사용해 SlowMist가 “제품 A”라고 부른 대상의 데이터베이스에 접근했다. 이후 9월 23일과 9월 25일 다른 두 노드에서도 유사한 활동이 탐지됐다. 보고서의 날짜와 시간은 UTC+8 기준이다.

9월 25일 공격자는 내부 직원의 신원을 이용해 SlowMist가 “제품 B”라고 부른 두 번째 보안 제품의 관리 플랫폼에도 접근했다. SlowMist는 공격자가 이후 시스템 명령을 주입하고 서버 구성을 변경하며 악성 프로그램 파일을 업로드하려 했다고 밝혔다. 

SlowMist는 조사가 계속 진행 중이며 공격자가 영향을 받은 시스템 사이를 어떻게 이동했는지도 여전히 조사하고 있다고 밝혔다. 

공격자가 맞춤형 출금 도구 사용

보안 업체는 지갑 시스템의 출금 절차를 조작하는 데 사용된 삭제된 고도로 맞춤화된 도구를 복구했다고 밝혔다. 이 도구는 위험 통제 매개변수를 위조하고 출금 요청을 구성하며 출금 절차를 호출했다.

SlowMist의 온체인 검증에 따르면 현재까지 확인된 가장 이른 이체는 9월 25일 오전 2시 31분(UTC+8)에 발생했다. 당시 공격자가 통제하는 주소가 93 TRX를 수령했고, 11초 후 이더리움에서 0.84 Ether를 수령했다. 여러 블록체인에 걸친 기록상 이체는 약 2시간 52분 동안 이어졌으며 이날 오전 5시 23분까지 계속됐다.

공격자는 지갑 데이터베이스에서 출금 기록을 직접 수정하고 추가 비트코인 출금을 실행하려고도 했다. SlowMist는 조작된 BTC 출금 주문 두 건이 처리 단계에 들어갔지만 오류를 반환했으며, 이후 공격자가 로그를 검토하고 주문 상태를 확인한 뒤 추가로 시도했다고 밝혔다.

관련 기사: Bitget CEO, IP 단서를 근거로 북한이 3억 5,200만 달러 해킹 배후라고 의심

9월 25일 업데이트에서 Bitget은 약 3억 8,750만 달러가 여러 네트워크에 걸쳐 공격자가 통제하는 주소로 이전됐다고 밝혔다. 

Bitget CEO 그레이시 첸은 이후 Cointelegraph에 이번 침해가 공격자가 “고위급 내부 자격 증명”을 확보하고 사기성 출금 명령을 내릴 수 있게 한 제3자 보안 제품의 취약점에서 비롯됐다고 말했다. 그녀는 Bitget의 프라이빗 키와 콜드월렛은 침해되지 않았다고 밝혔다.

Bitget은 여전히 탈취된 자산을 회수하려 하고 있다. 첸은 Cointelegraph의 Chain Reaction에 출연해 약 3억 8,800만 달러에 달하는 손실을 전액 회수하는 데 대해 “그다지 낙관적이지 않다” 고 말하며, Bybit의 2025년 해킹에서 회수된 금액이 제한적이었다는 점을 참고 사례로 들었다.

매거진: 알트시즌이 다가온다 — 이번에는 트레이더들의 분별력이 더 높아졌다