مهاجم Bitget يحوّل 75.48 مليون دولار إلى ETH وAvalanche (AVAX) خلال 41 دقيقة

استمر اختراق منصة Bitget ساعتين و52 دقيقة قبل أن تتمكن المنصة من قطع الطريق على المهاجم. عند الساعة 02:31 بتوقيت بكين صباح الجمعة 25 سبتمبر، خرجت عمليتا سحب تجريبيتان من المنصة: 0.84 Ethereum (ETH) من المحفظة الساخنة على شبكة إيثريوم، و93 TRX من محفظة TRON، وكلتاهما دون العتبات التي كانت ستطلق إنذارا. وعند الساعة 02:58 بدأت التدفقات الواسعة، ثم رصد نظام المطابقة في Bitget عند الساعة 03:05 فرقا كبيرا في الأرصدة، فوقف ضوابط المخاطر سحوبات المستخدمين في المنصة بأكملها. لكن التحويلات لم تتوقف، لأن المهاجم كان قد أدخل أوامر سحب مزوّرة مباشرة في نظام المحافظ. آخر تحويل خرج عند الساعة 05:23، وكان الحركة الصادرة السادسة والعشرين الناجحة المسجلة في لوحة التتبع الخاصة بالمنصة، وعند 05:44 أوقفت Bitget آلات التوقيع الخاصة بها. ويحكي الإفصاح الرسمي للمنصة بعد الحادثة أن ثغرة يوم صفر في منتج أمني من طرف ثالث سمحت للمتسلل بسرقة بيانات اعتماد عديدة الامتيازات من الشبكة الداخلية، وحقن الأوامر المزوّرة، وتجاوز فحوصات ضوابط المخاطر، وحذف السجلات بعد كل تحويل. وتؤكد Bitget أن المفاتيح الخاصة لم تُكشف أبدا، وأن محافظها الباردة، المنفصلة عن بنية المحفظة الهرمية HD التي تقف خلف المحافظ الساخنة، لم تُمس. وقدرت الخسائر أول مرة بنحو 351.6 مليون دولار، ثم جرى تعديلها إلى نحو 387.5 مليون دولار بعد احتساب Zcash وTRON، موزعة على 13 أصلا عبر 12 سلسلة، وكان XRP أكبر خسارة على سلسلة واحدة. أما أرصدة المستخدمين فلم تتأثر، وبطاقة الحماية غطتها بالكامل. واللافت في تسلسل الأحداث أن السرعة، لا سعر Avalanche (AVAX) ولا سعر الإيثريوم، هي ما حكم مسار الأموال: نحو 75.48 مليون دولار من USDT وUSDC وUSDT0، إضافة إلى 3,000 رمز XAUt من الذهب، حُوّلت إلى Ethereum (ETH) أو AVAX خلال 41 دقيقة من كل عملية سرقة، عبر UniswapX وUniswap و1inch ومحوّل MetaMask المدمج، وأنجزت التحويلات كلها قبل أن تنشر المديرة التنفيذية لـBitget Gracy Chen أول بيان علني لها عند الساعة 05:30.

يظهر التتبع على السلسلة حتى 29 سبتمبر أن الأموال تحركت في ثلاث خطوات: تحويل الأصول القابلة للتجميد إلى رموز أصلية، ثم توجيه كل شيء نحو Bitcoin (BTC)، ثم ضخ البيتكوين في خلط CoinJoin. ووفق لوحة التتبع، ببيانات اعتمادا إلى الساعة 20:30 بتوقيت بكين يوم الثلاثاء 29 سبتمبر، كان نحو 90% من حجم العمليات العابرة للسلاسل ينطلق من إيثريوم، في مسار استمر قرابة خمسة أيام عند تلك اللقطة. واستقبل بروتوكول الجسر العابر للسلاسل THORChain، الأكبر بين الخدمات المستخدمة، نحو 269 مليون دولار صافيا عبر 7,804 معاملات؛ وتسوّى هذه الخدمة تبادل الأصول بين السلاسل بدون أمناء حفظ، اعتمادا على نموذج المبادلة الذرية. وجاءت Chainflip ثانيا بنحو 37.27 مليون دولار. وهذه أرقام مرور لا تُجمع مع بعضها، لأن دفعة واحدة قد تعبر عدة خدمات. وبلغ الحجم التراكمي لعمليات CoinJoin نحو 3.94 مليون دولار، وهو رقم صغير أمام حيازات المهاجم من البيتكوين. وقد سُجلت إحدى معاملات CoinJoin عند الساعة 19:03 من مساء الأحد 27 سبتمبر بـ356 مدخلا و401 مخرجا؛ وأربعة مدخلات بقيمة 2.5 BTC لكل منها تعود إلى عناوين المهاجم، بينما ضمت قائمة المخرجات 21 قيمة متطابقة من 0.02097152 BTC لا يستطيع التحليل على السلسلة إسناد أي منها لملك محدد. وبحلول اليوم الخامس بعد الاختراق كان المهاجم يسيطر على نحو 342 مليون دولار، أي 88.3% من المسروق: نحو 83.7% بالبيتكوين، أي قرابة 3,386 عملة، و8.5% بـZEC، و7.3% بـEthereum (ETH)، أي نحو 9,357 عملة، و0.2% بعملات مستقرة. أما التجميدات المرئية علنا فلم تتجاوز نحو 840,000 دولار، أي 0.2% من الغنيمة تقريبا. جمدت Tether وCircle نحو 340,000 دولار، معظمها عملات مستقرة بقيت وسيطا للجسور، بينما كشفت NEAR Intents يوم الاثنين 28 سبتمبر أن نظام الفحص SHIELD لديها أوقف نحو 503,000 دولار أثناء التنفيذ بعد محاولة المهاجم دفع أكثر من 50 مليون دولار عبر خدمتها. وقد طالبت Gracy Chen علنا يوم السبت 26 سبتمبر بروتوكول THORChain برفض عناوين المهاجم، فأجاب البروتوكول بأنه لا يمارس الرقابة على المعاملات، وظلت الأموال المسروقة تنتقل من ETH إلى BTC عبره حتى 29 سبتمبر.

342 مليون دولار ما زالت بيد المهاجم

نافذة الـ41 دقيقة هي الرقم الذي تعود إليه قراءتنا على السلسلة مرارا. فبمجرد تحول العملات المستقرة القابلة للتجميد إلى ETH وAVAX، لم يعد بمقدور الجهات المصدرة التجميد أن تمسك سوى المتخلفين، ونحو 840,000 دولار جُمدت في النهاية مقابل 387.5 مليون دولار سُرقت، وهذه هي المسافة التي قيست. ويسند الإفصاح الرسمي لـBitget السبب الجذري إلى ثغرة يوم صفر في منتج أمني من طرف ثالث استُخدمت لسرقة بيانات الاعتماد المميزة وكتابة أوامر السحب المزوّرة، مع إيقاف آلات التوقيع عند الساعة 05:44 كإجراء تصحيحي. وحتى 29 سبتمبر، كان نحو 342 مليون دولار ما تزال في عناوين يتحكم فيها المهاجم. والشبكة ذاتها التي حملت الأموال المسروقة، أي شبكة Avalanche، تسوّي اليوم أيضا مشاريع مؤسسية تجريبية، من تجربة بورصة NYSE التقنية التي دامت عاما كاملا إلى صندوق الخزانة المرمّز لـGoldman Sachs، وقائمتنا في أفضل منصات تداول الكريبتو تجعل انضباط حفظ الأصول، لا اختيار السلسلة، هو المتغير الحاسم.