Útočník si podle šéfky kryptoměnové burzy Bitget Gracy Chen nejprve malými převody ověřoval, jak fungují bezpečnostní kontroly. Následná krádež zasáhla prostředky za 387,5 milionu dolarů. Pachatel přitom podle burzy nezískal soukromé klíče k peněženkám, ale obešel kontroly pomocí falešných příkazů k výběru. Ztrátu má pokrýt ochranný fond Bitgetu.
Od malých převodů k falešným příkazům
Bezpečnostní systém odhalil neoprávněné převody 24. září 2026 v 18:31 UTC. Útok zasáhl některé provozní peněženky. Studené peněženky (cold wallets), které uchovávají největší část aktiv burzy mimo přímé připojení k internetu, zůstaly nedotčené.
Podle Bitgetu pachatel zneužil chybu v bezpečnostním produktu externího dodavatele a získal přístupové údaje do vnitřní sítě. Poté vytvořil falešné příkazy k výběru, které peněženkový systém provedl, aniž je bezpečnostní kontroly zastavily. Nešlo tedy o krádež soukromých klíčů, které umožňují nakládat s kryptoměnami.
Burza oznámila, že zranitelnost opravila a útok zastavila. Do vyšetřování se zapojily bezpečnostní firmy Mandiant a SlowMist. Bitget také spustil program odměn za pomoc se získáním odcizených aktiv zpět.
Ztrátu má pokrýt ochranný fond
Bitget původně vyčíslil zasažené prostředky na 351,6 milionu dolarů. Odhad následně zvýšil na 387,5 milionu dolarů, když započítal také aktiva v sítích Zcash a TRON. Incident se dotkl rovněž sítě Ethereum, dalších sítí kompatibilních s Ethereem a XRP Ledgeru.
Podle burzy zůstaly zákaznické zůstatky správné a beze změny. Celý finanční dopad má pokrýt Bitget Protection Fund, jehož hodnota přesahovala 464 milionů dolarů. Krytí ztráty podle Bitgetu nezávisí na výsledku vyšetřování.
Burza preventivně pozastavila výběry, zatímco vklady a obchodování fungovaly dál. Postupné obnovení výběrů naplánovala na období od 28. září do 2. října.
Ukradené XRP nelze jednoduše zmrazit
Pachatel odcizil přibližně 103 milionů XRP a rozdělil je mezi pět účtů. Do 26. září z původních účtů přesunul XRP v hodnotě zhruba 83 milionů dolarů. Samotné převody však neukazují, kolik kryptoměn už prodal.
Možnosti zásahu jsou omezené. Ripple nemůže zmrazit samotné XRP v peněženkách útočníka. Burza, na kterou odcizené prostředky dorazí, ale může omezit účet příjemce a zablokovat jeho výběry.
Jiná pravidla platí u stablecoinů USDC a USDT, jejichž vydavatelé mohou blokovat adresy. Společnosti Circle a Tether tak zmrazily přibližně 320 000 dolarů ve stablecoinech spojených s útokem. Jde ale jen o malou část celkové ztráty.
Ke kryptoměnám jsem se dostal na konci roku 2020 a rychle jsem překonvertoval k bitcoin maximalismu. Zajímám se o dění na finančních trzích a ve volném čase cestuji, nejčastěji po jihovýchodní asii.
