شرکت امنیتی SlowMist می‌گوید هکرهای کره شمالی در حال شستشوی وجوه دزدیده شده از Bitget هستند و این کار را با جفت کردن سفارش‌های پروتکل CoW با آدرس‌های واریز Chainflip انجام می‌دهند و سپس عواید را به بیت‌کوین تبدیل می‌کنند.
بنیان‌گذار این شرکت، که در X به عنوان Cos فعالیت می‌کند، استدلال می‌کند که بررسی‌های ضد پولشویی از اسکریپت‌های خودکار شستشوی پول عقب مانده‌اند، حتی در حالی که Chainflip سعی کرده است جریان‌ها را مسدود کند.
SlowMist حمله را به سیستم‌های شخص ثالث ردیابی می‌کند
در پستی در تاریخ ۲۹ سپتامبر، Cos گفت که SlowMist هکرهای مرتبط با کره شمالی را شناسایی کرده است که از پروتکل CoW و Chainflip برای انتقال وجوه از Bitget استفاده می‌کنند. یک اسکریپت خودکار سفارش‌های CoW را با آدرس دریافت تنظیم شده به یک قرارداد واریز Chainflip از پیش آماده شده ایجاد کرد. پس از اجرا، Chainflip مبادله بین زنجیره‌ای را انجام داد و دارایی به BTC تبدیل شد.
Cos بعداً توصیف کرد که پس از ردیابی وجوه به مدت چند ساعت، الگوی وسیع‌تری را شناسایی کرده است. Chainflip در تلاش بود تا فعالیت مشکوک به شستشوی پول را مسدود کند، اما تکه‌تکه شدن خودکار و تلاش‌های مکرر در پل‌های مختلف می‌توانست به اپراتورها اجازه دهد تا در صورت رد یا بازگشت یک انتقال، مسیر دیگری را امتحان کنند.
در نهایت، وجوه قبل از اینکه CoinJoin برای پنهان کردن بیشتر حرکات استفاده شود، به BTC تبدیل شدند.
MistTrack، یک پلتفرم ردیابی و تطابق ارزهای دیجیتال که توسط SlowMist ساخته شده است، گزارش داد که Chainflip یک واریز تلاش شده را رد کرده است. پیام برگشتی این بود که “واریز توسط کارگزار رد شد”، اما وجوه برگردانده شدند نه اینکه مسدود شوند.
به یاد داشته باشید که MistTrack قبلاً برجسته کرده بود که وجوه دزدیده شده از Bitget به THORChain برای مبادلات بین زنجیره‌ای در حال جریان بودند و استدلال کرده بود که L1 بدون مجوز باید مسئولیت رسیدگی به وجوه دزدیده شده را بر عهده بگیرد. با این حال، DEX ادعا کرد که غیرمتمرکز و بدون مجوز است و “به طور طراحی سانسور نمی‌کند.”
تحقیقات SlowMist سرقت را به فعالیت‌هایی که قبل از انتقال‌ها آغاز شده بود ردیابی کرد، با اولین اعمال مخرب در لاگ‌های موجود که به ۳۱ اوت برمی‌گردد، زمانی که یک سرویس در یک محصول شخص ثالث از طریق یک آسیب‌پذیری روز صفر به خطر افتاد.
حمله‌کننده بعداً به پلتفرم مدیریت یک محصول دوم در تاریخ ۲۵ سپتامبر با استفاده از هویت یک کارمند داخلی دسترسی پیدا کرد و سعی کرد دستورات را تزریق کرده و فایل‌های مخرب بنویسد.
ابزار برداشت حمله را به انتقال‌های زنجیره‌ای متصل کرد
SlowMist همچنین ابزاری سفارشی برای برداشت را از فایل‌های حذف شده بازیابی کرد که به منطق برداشت کیف پول Bitget تنظیم شده بود و پارامترهای کنترل ریسک را جعل کرده، درخواست‌های برداشت را ساخته و فرآیند برداشت را فراخوانی می‌کرد.
لاگ‌ها نشان می‌دهند که این ابزار در تاریخ ۲۵ سپتامبر ساعت ۰۱:۴۹ شروع به اجرای سرقت کرد، با فعالیت زنجیره‌ای که در ساعت ۰۲:۳۱ آغاز شد و ۹۳ TRX به آدرس حمله‌کننده ارسال شد، که ۱۱ ثانیه بعد ۰.۸۴ ETH به اتریوم رسید.
انتقالات در چندین بلاکچین ادامه یافت تا ساعت ۰۵:۲۳، که حدود ۲ ساعت و ۵۲ دقیقه به طول انجامید. در همین حال، حمله‌کننده همچنین سعی کرد سوابق برداشت را تغییر دهد و برداشت‌های اضافی BTC را تحریک کند، طبق گزارش SlowMist.
Bitget این حادثه را به یک سیستم پشتیبان در زیرساخت کیف پول خود نسبت داد نه یک کلید خصوصی دزدیده شده، و این صرافی اعلام کرده است که صندوق حمایت از کاربرانش هزینه‌های مربوط به این حادثه را پوشش خواهد داد.