Bitget CEO’su Gracy Chen, 388 milyon dolarlık saldırı öncesinde yapılan iki küçük transferin güvenlik alarmını tetiklemediğini ve saldırganın ele geçirdiği yönetici erişimiyle sahte çekim komutlarını sisteme kabul ettirdiğini açıkladı.
Chen, The Block’a verdiği röportajda 24 Eylül’deki saldırının nasıl başladığını ve borsanın ne zaman müdahale ettiğini anlattı. İlk denemeler, risk kontrollerinin eşik değerinin altında kaldığı için sistemde uyarı oluşturmadı. Ardından sekiz blokzincir ağında büyük tutarlı transferler başladı.
Küçük denemelerden yarım saat sonra büyük transferler başladı
CEO’nun paylaştığı zaman çizelgesine göre saldırgan, 24 Eylül saat 21.31’de (TSİ) Ethereum sıcak cüzdanından 0,184 ETH, Tron sıcak cüzdanından ise 193 TRX gönderdi. Bu iki küçük işlemden yaklaşık yarım saat sonra çok daha yüksek tutarlar borsadan çıkarılmaya başlandı.
Saat 21.58 ile 23.09 (TSİ) arasında Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism ve Avalanche üzerinden yapılan 17 işlemde yaklaşık 361 milyon dolar taşındı. Bu işlemler, toplam 388 milyon dolarlık saldırının büyük bölümünü oluşturdu.
Bitget’in kayıtlarla bakiyeleri karşılaştıran mutabakat sistemi, ilk büyük transferden yedi dakika sonra, saat 22.05’te (TSİ) önemli bir tutarsızlık saptadı. Bunun üzerine platform genelinde kullanıcıların başlattığı çekimler engellendi. Saldırgan ise daha önce iç yönetim sistemine erişim sağlamıştı.
Sahte çekim komutları geçerli işlem gibi kabul edildi
Chen’in açıklamasına göre saldırgan, üçüncü taraf bir güvenlik ürünündeki daha önce bilinmeyen bir açıktan yararlanarak geçerli yönetici giriş bilgilerini ele geçirdi. Bu erişim sayesinde cüzdan altyapısına doğrudan sahte çekim komutları ekleyebildi ve sistem bu komutları meşru işlemler olarak kabul etti.
Saldırganın komutların bıraktığı izleri silmesi de olayın aydınlatılmasını zorlaştırdı. Bitget, incelemeyi Mandiant ve SlowMist ile yürütüyor ve resmi olay raporunu bu hafta yayımlamayı bekliyor. Chen, şüphelerin aynı gruba yöneldiğini söylese de rapor açıklanmadan isim vermedi.
Borsa, özel anahtarların ve soğuk cüzdanların ele geçirilmediğini bildirdi.
Kayıp koruma fonundan karşılanacak
Chen, 25 Eylül itibarıyla 465 milyon dolar değerindeki kullanıcı koruma fonunun kaybı karşılayacağını söyledi. Fonun ödeme sonrasında şirket rezervlerinden yapılacak aktarımla bir hafta içinde yeniden en az 300 milyon dolara ulaştırılması planlanıyor. Şirket rezervleri, 31 Ağustos tarihli denetimde 1,4 milyar doların üzerindeydi.
Bitcoin çekimleri 28 Eylül Pazartesi günü yeniden açıldı ve ilk saatte 3.000 BTC’den fazla çekim işlendi. Ethereum çekimlerinin ise 29 Eylül’de açılması planlanıyor.
Yatırım tavsiyesi değildir.
