Ngay sáng 28/09, bốn ngày sau khi phải dừng mọi giao dịch rút tiền, Bitget bắt đầu mở lại tính năng rút Bitcoin. Tính năng rút ETH được lên kế hoạch cho ngày 29/09, USDT cho 30/09, còn các token khác, fiat và dịch vụ người dùng giao dịch trực tiếp trở lại vào 02/10.

Bitget cho biết kẻ tấn công không cần đánh cắp khóa riêng tư để rút tiền. Họ tìm được một lỗ hổng trong sản phẩm bảo mật của bên thứ ba, từ đó lấy được credential nội bộ cấp cao, rồi dùng credential đó để phát lệnh rút giả mạo tới hệ thống ví của sàn, vượt qua các cơ chế kiểm soát rủi ro vốn có.

Bốn ngày, ba con số

Quy mô thiệt hại đã tăng theo mỗi vòng kiểm kê. Ban đầu Bitget công bố khoảng 351,6 triệu USD, con số này được giữ nguyên suốt bốn ngày. Sau khi đối chiếu lại dòng tiền trên chuỗi, mức thiệt hại được nâng lên khoảng 388 triệu USD, và sàn nói rõ con số cập nhật này không phản ánh thêm các giao dịch trái phép mới.

Tiền bị chuyển ra trên nhiều mạng, gồm Ethereum, XRP Ledger và Tron. Điều này giải thích vì sao việc truy vết khó hơn nhiều so với một vụ chỉ chạm vào một chuỗi duy nhất.

Tốc độ xử lý cũng đáng ghi nhận. Rút BTC mở lúc 08:00 UTC ngày 28/09 trên mạng Bitcoin và BSC, và đến 09:00 UTC, tức chỉ một giờ sau đó, Bitget đã xử lý 9.585 lệnh rút với tổng khoảng 4.098 BTC. Quỹ Bảo vệ Người dùng hơn 464 triệu USD của sàn vẫn còn nguyên, cao hơn mức thiệt hại 388 triệu USD, và sàn khẳng định số dư tài khoản khách hàng không bị ảnh hưởng.

Bài học nằm ở quy trình, không ở hình thức

Đây là loại vụ tấn công khác với những gì mô tả về hacker sàn trước đây. Với cách tiếp cận truyền thống, sàn nói khóa riêng tư nằm trong ví lạnh là vấn đề, nên kẻ tấn công buộc phải lấy khóa. Lần này, kẻ tấn công đánh cắp chính thứ quy trình duyệt giao dịch. Khóa riêng tư và ví lạnh vẫn nguyên vẹn, chỉ là không ai ở đó để ngăn lệnh rút chạy đi.

Bitget mô tả đây là lần đầu tiên trong tám năm một vụ tấn công đã xuyên thủng được hạ tầng của sàn. Câu trong thông báo chính thức viết rằng thành tích đó không làm giảm tính nghiêm trọng của sự cố, mà đặt ra chuẩn để đo phản ứng của sàn từ đây.

Phía điều tra, sàn cho biết đang phối hợp với các bên liên quan trong ngành, một phần tài sản đã bị đóng băng, và sẽ công bố báo cáo bảo mật trong tuần. CEO Gracy Chen trước đó nói phương thức tấn công nhất quán với các nhóm liên kết Triều Tiên, nhưng điều tra vẫn chưa kết luận.

Điểm cần theo dõi: một sàn hoàn thành quy trình bảo mật tốt vẫn có thể bị lấy credential qua nhà cung cấp bên thứ ba. Câu hỏi thực tế cho các sàn khác không phải là ví của mình có an toàn không, mà là đường ống phê duyệt giao dịch của mình có đứng trước những lỗ hổng tương tự không.