Bitget, 24 Eylül’de kripto para borsası cüzdanlarından 387,5 milyon dolar çalındığını doğruluyor. Para çekme işlemleri hâlâ durdurulmuş durumda. Şirket ise kaybın koruma fonu tarafından karşılandığını ifade ediyor.
Mandiant ve SlowMist olayı araştırıyor. CEO Gracy Chen, Kuzey Kore bağlantısından şüpheleniyor. Fakat ilk giriş noktasının ne olduğu henüz açıklanmadı.
Peki bu hack saldırısı nasıl gerçekleşti? BeInCrypto, kamuya açık verilerden yola çıkarak bir zaman çizelgesi oluşturdu.
24 Eylül, 18:31 UTC: Bitget Yetkisiz Transferleri Tespit Ediyor
Bitget, güvenlik sisteminin saat 18:31’de bu transferleri tespit ettiğini ve dakikalar içinde acil durum protokollerinin devreye alındığını belirtiyor.
İhlalde borsanın hot ve warm cüzdan’larının bir bölümü etkilendi. Bunlar borsa operasyonlarını destekliyor. Şirket, offline cold cüzdan’larının ise güvende kaldığını söylüyor. Ancak tespit zamanı, saldırganların ilk erişim sağladığı anı kesin olarak göstermiyor.
19:57–21:06 UTC: Sıradışı İşlemler Alarmları Çaldı
Saat 19:57’de, analist DCF GOD yeni açılan bir cüzdan’ın altı dakikada 19,67 milyon dolar değerinde USDT0 harcayarak 7.111 ETH aldığını paylaştı. İşlemlerde piyasa fiyatının %5 üzerine çıkılmıştı.
Bu davranış, birilerinin fonları hızla hareket ettirmeyi tercih ettiğini gösterdi. Neden yaptıkları ise hala belirsizdi.
21:06’da Bubblemaps yaklaşık 180 milyon dolar’ın Bitget cüzdan’larından tek bir adrese aktarıldıktan sonra parçalara bölünüp farklı cüzdan’lara dağıldığını bildirdi.
21:30 UTC: Chen İhlali Doğruladı
Chen’in güvenlik bildirisi, ilk kaybın 351,6 milyon dolar olduğunu ve para çekme işlemlerinin durdurulduğunu doğruladı.
Bu açıklama Bitget’in tespit zamanından yaklaşık üç saat sonra geldi. Arada geçen süreye dair soru işaretleri oluştu. Fakat bu durum, bu süre boyunca fonların mutlaka borsadan çıkmaya devam ettiğini kanıtlamıyor.
25 Eylül, 00:43 UTC: Şüpheli Yöntem Ortaya Çıkıyor
Chen, saldırganların arka planda çalışan kritik bir backend sistemine sızdıklarını söyledi. Yani cüzdan işlemlerini yöneten yazılım ele geçirildi.
Saldırganlar sahte işlem verileri girerek Bitget’in onaylama mekanizmasını tetikledi. Yani sistem, bu sahte transferleri kendi elleriyle onayladı.
Chen, özel anahtar hırsızlığının olmadığını belirtti. Ancak saldırganların backend’e tam olarak nasıl sızdığı ve hangi güvenlik kontrollerinde zafiyet olduğu sorusu hâlâ detaylı bir açıklama bekliyor.
14:03 UTC: Zarar 387,5 Milyon Dolara Ulaştı
Bitget, Zcash ve TRON varlıklarının da etkilenmesi sonrası zarar miktarını güncelledi. Şirket bu artışın, asıl kaybın daha kapsamlı analizinden kaynaklandığını duyurdu.
Firma, zafiyetin giderildiğini söylüyor. 26 Eylül 04:00 UTC’ye kadar para çekme ile ilgili bir duyuru yapılacağını açıkladı. Ancak o tarihte para çekme işlemlerinin açılacağı net değil.
Araştırmacılar Neden Kuzey Kore’den Şüpheleniyor?
Chen, IP hareketliliği ve blockchain üzerindeki aktivitelerin Kuzey Kore gruplarıyla benzerlikler taşıdığını belirtiyor. Birçok detay, ABD Federal Soruşturma Bürosu’nun (FBI) da Kuzey Kore’ye bağladığı şubat 2025 Bybit siber saldırısını anımsatıyor.
- Onay mekanizmasının manipüle edilmesi: Bitget’in açıklamasında sisteme sahte talimatlar gönderildiği belirtiliyor. Bybit’te ise saldırganlar arayüzü ele geçirip imza atanları yanıltarak zararlı transferlere onay almıştı. Yöntemler farklı olsa da ortak nokta: Onay süreçleri istismar edildi.
- Varlıkların hızlıca dönüştürülmesi: Bitget kaynaklı fon’larla hızlıca ETH alındı. FBI, Bybit’ten çalınan varlıkların da benzer bir hızla farklı kripto paralar’a çevrildiğini raporlamıştı.
- Varlıkların cüzdan’lar arasında dağıtılması: Bubblemaps, çoklu alıcı cüzdan saptadı. Bybit’in çalınan fon’ları ise FBI’a göre binlerce adrese yayılmıştı.
- THORChain kullanımı: MistTrack Bitget fon’larının protokole aktarıldığını ve daha önce Bybit varlıklarının da THORChain ile taşındığını ortaya koydu.
Bu benzerlikler, olayın derinlemesine araştırılmasını destekliyor. Fakat Bitget’in saldırganlarının kesin olarak kim olduğunu açıklamaya tek başına yetmiyor.
