شرکت امنیت بلاک‌چین اسلو میست می‌گوید نخستین فعالیت مخربی که تاکنون به سرقت حدود ۳۸۸ میلیون دلار از صرافی بیت‌گت مرتبط شده، در ۳۱ اوت ثبت شده است؛ یعنی چند هفته پیش از انتقال دارایی‌ها از کیف‌پول‌های گرم این صرافی. بررسی‌ها نشان می‌دهد مهاجم از یک آسیب‌پذیری «روز صفر» در یکی از محصولات امنیتی شخص ثالث استفاده کرده و سپس برای دست‌کاری روند برداشت، ابزاری سفارشی به کار برده است.
این سرقت در ۲۴ سپتامبر به وقت جهانی آشکار شد؛ زمانی که دارایی‌های موجود در کیف‌پول‌های گرم بیت‌گت به آدرس‌هایی تحت کنترل مهاجم و روی چند بلاک‌چین منتقل شد. بیت‌گت در به‌روزرسانی ۲۵ سپتامبر رقم انتقال‌یافته را حدود ۳۸۷.۵ میلیون دلار اعلام کرد. با این حال، در گزارش‌های مربوط به این پرونده، ارزش کل سرقت حدود ۳۸۸ میلیون دلار عنوان شده است.
مسیر نفوذ از محصولات امنیتی شخص ثالث
بر اساس گزارش پیشرفت اسلو میست، مهاجم ابتدا با استفاده از یک اسکریپت پنهان به پایگاه داده محصولی که این شرکت برای حفظ نام آن «محصول A» نامیده است، دسترسی پیدا کرد. رمز عبور این محصول از یک متغیر محیطی به دست آمده بود؛ متغیرهایی که معمولاً برای نگهداری تنظیمات و اطلاعات دسترسی در محیط اجرای نرم‌افزار استفاده می‌شوند.
اسلو میست می‌گوید نشانه‌های فعالیت مشابه بعداً روی دو گره دیگر نیز شناسایی شد؛ یکی در ۲۳ سپتامبر و دیگری در ۲۵ سپتامبر. زمان‌های درج‌شده در گزارش این شرکت بر اساس منطقه زمانی UTC+8 است.
در ۲۵ سپتامبر، مهاجم به سامانه مدیریتی محصول امنیتی دیگری که در گزارش «محصول B» نام گرفته، دسترسی پیدا کرد. طبق یافته‌های اسلو میست، این ورود با استفاده از هویت یک کارمند داخلی انجام شد. پس از آن، مهاجم تلاش کرد فرمان‌های سیستمی را وارد کند، پیکربندی سرورها را تغییر دهد و فایل‌های برنامه مخرب را روی سامانه بارگذاری کند.
اسلو میست هنوز در حال بررسی این پرونده است و می‌گوید مسیر حرکت مهاجم میان سامانه‌های درگیر به‌طور کامل مشخص نشده است. بنابراین، گزارش فعلی بخشی از زنجیره نفوذ را توضیح می‌دهد، اما تحقیقات درباره نحوه گسترش دسترسی‌ها ادامه دارد.
ابزار سفارشی برای صدور برداشت‌های جعلی
یکی از یافته‌های مهم تحقیقات، بازیابی ابزاری بسیار سفارشی است که پس از استفاده حذف شده بود. این ابزار برای اثرگذاری بر فرآیند برداشت کیف‌پول طراحی شده بود و می‌توانست پارامترهای کنترل ریسک را جعل کند، درخواست برداشت بسازد و فرآیند اجرای آن را فراخوانی کند.
کنترل ریسک در صرافی‌ها معمولاً برای بررسی مشروعیت سفارش‌های برداشت و شناسایی رفتارهای غیرعادی به کار می‌رود. بر اساس بررسی روی زنجیره‌ای اسلو میست، نخستین انتقالی که تا زمان تهیه گزارش تأیید شده، در ساعت ۲:۳۱ بامداد ۲۵ سپتامبر به وقت UTC+8 رخ داده است. در این انتقال، یک آدرس تحت کنترل مهاجم ۹۳ واحد TRX دریافت کرد و ۱۱ ثانیه بعد، ۰.۸۴ واحد اتر به همان مجموعه فعالیت مرتبط با مهاجم منتقل شد.
سوابق انتقال‌های ثبت‌شده در چند بلاک‌چین حدود دو ساعت و ۵۲ دقیقه را پوشش می‌دهد و تا ساعت ۵:۲۳ بامداد همان روز ادامه دارد. مهاجم علاوه بر ایجاد درخواست‌های برداشت، تلاش کرد سوابق برداشت را مستقیماً در پایگاه داده کیف‌پول تغییر دهد و برداشت‌های بیشتری با بیت‌کوین فعال کند.
دو سفارش ساختگی برداشت بیت‌کوین وارد مرحله پردازش شدند، اما با خطا مواجه شدند. پس از این ناکامی، مهاجم گزارش‌های سیستمی را بررسی کرد، وضعیت سفارش‌ها را سنجید و تلاش‌های بیشتری انجام داد. این جزئیات نشان می‌دهد حمله فقط به انتقال‌های موفق محدود نبوده و مهاجم در چند مرحله سعی کرده کنترل فرآیند برداشت را به دست بگیرد.
موضع بیت‌گت و تصویر فعلی بازار
گریسی چن، مدیرعامل بیت‌گت، به کوین‌تلگراف گفت که منشأ رخنه، آسیب‌پذیری در یک محصول امنیتی شخص ثالث بوده است؛ نقصی که به مهاجم اجازه داده اعتبارنامه‌های داخلی سطح بالا را به دست آورد و فرمان‌های برداشت جعلی صادر کند. چن تأکید کرد کلیدهای خصوصی و کیف‌پول‌های سرد بیت‌گت به خطر نیفتاده‌اند. کیف‌پول سرد به محل نگهداری دارایی‌های رمزارزی به‌صورت آفلاین گفته می‌شود و معمولاً از کیف‌پول‌های متصل به سامانه‌های عملیاتی جداست.
بیت‌گت همچنان در تلاش است دارایی‌های سرقت‌شده را بازیابی کند. چن در برنامه Chain Reaction کوین‌تلگراف گفت نسبت به بازگرداندن کامل حدود ۳۸۸ میلیون دلار «خیلی خوش‌بین نیست» و به میزان محدود بازیابی دارایی‌ها پس از هک بای‌بیت در سال ۲۰۲۵ اشاره کرد. طبق گزارش کوین‌تلگراف، چن پیش‌تر احتمال نقش داشتن کره شمالی را با استناد به سرنخ‌های مربوط به نشانی‌های آی‌پی مطرح کرده بود؛ این موضوع در گزارش فعلی به‌عنوان علت قطعی حمله تأیید نشده است.
در ساعت ۰۹:۱۸ اول اکتبر ۲۰۲۶ به وقت +۰۳:۳۰، داده‌های بازار مانیار قیمت لایتر با نماد LIT را ۴.۰۲۰۷۱۲۷۷۳۳ دلار نشان می‌دهد؛ این دارایی در ۲۴ ساعت ۴.۸۸ درصد افزایش، اما در هفت روز ۲۳.۱۳ درصد کاهش داشته است. قیمت Plasma با نماد XPL برابر ۰.۰۹۷۵۵۰۸۶۵۸ دلار بوده و تغییرات آن در بازه‌های ۲۴ ساعته و هفت‌روزه به‌ترتیب مثبت ۰.۸۴ و ۱۰.۶۱ درصد ثبت شده است.
همچنین OriginTrail با نماد TRAC در قیمت ۰.۴۷۶۰۷۵۳۷۲ دلار معامله شده و رشد ۱۲.۹۵ درصدی در ۲۴ ساعت و ۳۲.۵۱ درصدی در هفت روز داشته است. Walrus با نماد WAL نیز ۰.۰۳۴۵۴۹۴۲۶۵ دلار قیمت داشته و در این دو بازه به‌ترتیب ۰.۹ و ۶.۷ درصد افزایش یافته است. این ارقام، داده‌های بازار مانیار در زمان یادشده هستند و مستقیماً ارتباطی با پرونده هک بیت‌گت ندارند.
