Bybit ujawnia, jak hackerom udało się wykraść ETH za o wartości 1,4 miliarda dolarów

Eksperci ds. cyberbezpieczeństwa twierdzą, że północnokoreańscy hakerzy wykorzystali dostawcę portfela Safe do przeprowadzenia największego w historii ataku kryptowalutowego na Bybit.

---

• Wiadomo już jak dokładnie przeprowadzono atak na Bybit.
• Powodem exploita było działanie hakerów, którzy wprowadzili wirusa do systemu Safe, portfela na kryptowaluty, z którego korzystała giełda.

Jak doszło do ataku na Bybit?

Za nami udany atak na Bybit, w wyniku którego doszło do kradzieży ETH i stETH o wartości 1,4 miliarda USD.

Jak do niego doszło? Analitycy z Verichains i Sygnia Labs, dwóch czołowych firm zajmujących się cyberbezpieczeństwem, ustalili, że północnokoreańskim hakerom udało się umieścić w infrastrukturze Safe — dostawcy portfela kryptowalutowego używanego przez Bybit – wirusa.

Kod „wstrzyknięto” dokładnie do infrastruktury online Safe, która była hostowana w Amazon Web Services.

Do tego wirus został zaprojektowany tak, by aktywować się tylko po interakcji z adresem kontraktowym Bybit. Gdy ktoś z giełdy  rzeczywiście wszedł w interakcję z Safe, zadziałał i pomógł w kradzieży.

Zaledwie dwie minuty po włamaniu północnokoreańscy hakerzy zaktualizowali infrastrukturę Safe, aby usunąć program.

Co nam to mówi? To, że problemem nie okazały się systemy giełdy, ale portfela. Safe w oświadczeniu opublikowanym w środę na X potwierdziło ustalenia Verichains i Sygnia.

W odpowiedzi na to, co się stało, całkowicie przebudowało i zrekonfigurowało swoją infrastrukturę oraz zmieniło wszystkie swoje dane uwierzytelniające, „zapewniając całkowite wyeliminowanie wektora ataku”.

Warto jednak dodać, że, jak zauważył, założyciel SlowMist, Yu Xian, nadal nie jest jasne, w jaki sposób hakerzy zmanipulowali front-end. Dodał, że teoretycznie każdy, kto korzysta z usług wielopodpisowych Safe, może paść ofiarą tego samego ataku.

Jak na razie działania Safe skrytykował m.in. były dyrektor generalny Binance, CZ. Według niego wyjaśnienia firmy nie są wystarczająco szczegółowe, byśmy spali spokojnie.

On sam chciałby dowiedzieć się, jak dokładnie dokonano ataku – jak wgrano wirusa. Wiele wskazuje na to, że zawinił pojedynczy programista, ale CZ dodał, że chciałby więc wiedzieć, w jaki sposób komputer pracownika Safe uzyskał dostęp do konta giełdowego.

Zapytał też, czy portfel z ponad 1,4 mld USD w ETH i stETH był największym adresem zarządzanym za pomocą Safe i dlaczego hakerzy nie zaatakowali innych portfeli.

I usually try not to criticize other industry players, but I still do it once in a while. 😂

This update from Safe is not that great. It uses vague language to brush over the issues. I have more questions than answers after reading it.

1. What does „compromising a Safe… https://t.co/VxywHyzqXb

— CZ 🔶 BNB (@cz_binance) February 26, 2025

Nie trzymaj środków na giełdzie!

Choć w tym konkretnym przypadku środki klientów okazały się być bezpieczne, warto pamiętać, że nie należy trzymać kryptowalut na giełdzie.

Bybit szybko też załatał swoją dziurę budżetową, ale, jak pokazuje historia bitcoina, inne giełdy mogłyby po takim ciosie upaść. To więc kolejna gorzka lekcja dla branży.

Bybit Hack Forensics Report
As promised, here are the preliminary reports of the hack conducted by @sygnia_labs and @Verichains
Screenshotted the conclusion and here is the link to the full report: https://t.co/3hcqkXLN5U pic.twitter.com/tlZK2B3jIW

— Ben Zhou (@benbybit) February 26, 2025