منصة Bitget تؤكد سرقة 387.5 مليون دولار من العملات المشفرة بسبب ثغرة أمنية في منتجات طرف ثالث

وأوضحت Bitget أن المهاجمين استغلوا الثغرة للحصول على بيانات اعتماد داخلية رفيعة المستوى، واستخدموها لإصدار أوامر سحب احتيالية إلى نظام المحفظة، وبدء تحويلات غير طبيعية تجاوزت ضوابط المخاطر الحالية. وقد قامت المنصة بإخطار المورد المعني من الطرف الثالث وتعطيل الوظيفة المتأثرة حتى يتم إكمال الإصلاح.

أثر الحادث على 11 سلسلة كتل، تشمل Ethereum وXRP Ledger وZcash وTRON وArbitrum وOptimism وBase وBNB Smart Chain وAvalanche وAlgorand وCelestia. وشملت الأصول المتأثرة المحددة حتى الآن XRP وETH وUSDT وZEC وATOM وUSDC وUSD0 وXAUt وBNB وAVAX وTRX وALGO وTIA.

أشار تقرير تقدم من SlowMist إلى أن أقدم نشاط ضار مرتبط بالاختراق يعود إلى 31 أغسطس 2026، حيث تأثرت خدمة تعمل على إحدى عقد المنتج أ بثغرة اليوم الصفر. وقام المهاجم بتشغيل نص برمجي مخفي لقراءة متغير البيئة الذي يحتوي على كلمة مرور قاعدة البيانات والاتصال بها. كما لوحظ نشاط مشابه لنصوص برمجية مخفية على عقدتين أخريين في 23 و25 سبتمبر.

وفي 25 سبتمبر 2026، يُقال إن جهة التهديد وصلت إلى منصة إدارة منتج آخر يسمى المنتج ب باستخدام هوية موظف داخلي، وقامت بثلاث محاولات متتالية لحقن أوامر نظام في معلمات مهام المنتج لكتابة ملفات ضارة. ثم قدم المهاجم رمزاً عبر نقطة تنفيذ الويب الخاصة بالمنصة لمحاولة تعديل تكوين الخادم وكتابة ملف ترحيل اتصالات وتحميل ملفات برامج ضارة.

وجدت تحقيقات شركة Mandiant التابعة لشركة Google أن المهاجمين حصلوا على وصول غير مصرح به إلى أجهزة أمنية معينة تابعة لطرف ثالث، وهي أ و ب، ثم استغلوا ذلك الوصول للانتقال جانبياً إلى بيئة محفظة Bitget. ونشر المهاجم غلاف ويب على الجهاز الأمني ب وأنشأ اتصال تحكم وسيطرة، ومن ثم انتقل إلى خادم مهام محفظة الإنتاج في Bitget ونشر حزماً ضارة.

ذكرت Bitget أن أنماط سلوك عناوين البروتوكول وتحليل السلسلة يشيران إلى أن الهجوم نفذه جهات تهديد من كوريا الشمالية، حيث كشفت Elliptic وTRM Labs عن تداخل في المحافظ المستخدمة لغسل العائدات غير المشروعة من عمليات اختراق سابقة.