האקרים צפון קוריאנים גנבו 387 מיליון דולר מבורסת Bitget דרך פרצה אצל ספק חיצוני
פרצת אפס במוצר אבטחה של ספק חיצוני אפשרה להאקרים הקשורים לצפון קוריאה לגנוב 387.5 מיליון דולר מבורסת הקריפטו Bitget תוך שעות ספורות - תזכורת לכל עסק שהספקים שלו הם חלק מהחומה ההגנתית שלו.
בתוך שלוש שעות בלבד, ב-24 בספטמבר, נעלמו 387.5 מיליון דולר מבורסת המטבעות הדיגיטליים הבינלאומית Bitget. לא דרך פריצה לקוד של הבורסה עצמה, אלא דרך פרצת אפס במוצר אבטחה של ספק צד שלישי שהבורסה השתמשה בו. זה בדיוק מה שהופך את המקרה לחשוב לכל עסק, גם אם אין לו שום קשר למטבעות דיגיטליים: התקיפה לא פגעה בחוליה החזקה, היא פגעה בחוליה שהעסק עצמו לא בנה ולא בודק - ועדיין סמך עליה.
מה בעצם קרה
לפי חקירה משותפת של Bitget וחברת האבטחה Mandiant, התוקפים ניצלו פרצת אפס (באג שאף אחד לא ידע עליו קודם) במערכת אבטחה חיצונית שהייתה מחוברת לתשתית הבורסה. באמצעותה הם השיגו פרטי הזדהות פנימיים בעלי הרשאות גבוהות, הטמינו "web shell" שמתקשר עם שרת פיקוד ושליטה של התוקפים, ואז זזו בתוך הרשת הפנימית עד שהגיעו לשרת שמריץ את תהליכי הארנקים הדיגיטליים בסביבת הייצור. משם הם התקינו קוד זדוני, זייפו פקודות משיכה, עקפו את מנגנוני בדיקת הסיכונים של הבורסה, ומחקו את יומני התיעוד אחרי כל אחת מ-23 ההעברות שביצעו. הכסף זרם לארבע רשתות בלוקצ'יין שונות - אתריום, XRP, Zcash וטרון - כדי להקשות על המעקב.
מי עומד מאחורי זה
ב-1 באוקטובר פרסמה חברת ניתוח הבלוקצ'יין Chainalysis דוח שמייחס את ההתקפה להאקרים הקשורים לצפון קוריאה, בהתבסס על חפיפה בכתובות IP של VPN עם תשתית מוכרת של הקבוצה. גם החקירה הפנימית של Bitget הגיעה למסקנה דומה. זו לא תקרית בודדת: הגניבה הזו מקפיצה את סכום הכספים הדיגיטליים שנגנבו על ידי גורמים הקשורים לצפון קוריאה ב-2026 לרמה שעוברת את מיליארד הדולר. מנכ"לית Bitget, גרייסי צ'ן, הודיעה שהחברה לא מעריכה שתוכל לשחזר את רוב הכספים.
הנקודה שרלוונטית לכל עסק
הארנקים הקרים ומפתחות ההצפנה הפרטיים של Bitget לא נפרצו - הבעיה הייתה בכלי אבטחה חיצוני שהבורסה רכשה ושילבה במערכות שלה. זה המודל שחוזר על עצמו שוב ושוב בשנים האחרונות: תוקפים שלא מצליחים לפרוץ ישירות לחברה, פשוט מוצאים את הספק הכי פחות מוגן בשרשרת שלה - תוכנת אבטחה, מערכת ניהול הרשאות, כלי ניטור - ומשתמשים בו כנקודת כניסה. עסק יכול להשקיע הון בהגנה על המערכות הפנימיות שלו, ועדיין להיפרץ דרך ספק שהוא בכלל לא חשב עליו כסיכון.
מה אפשר ללמוד מזה בפועל
לא צריך לנהל בורסת קריפטו כדי שהלקח הזה יהיה רלוונטי. כל עסק שמחבר מערכות חיצוניות - ספקי תשלומים, כלי ניהול לקוחות, תוספי אבטחה, שירותי ענן - חשוף לאותו סוג של סיכון. שלוש פעולות פשוטות שכל מנהל יכול לדרוש כבר השבוע: לבקש מהספקים הקריטיים אישור שהם מעדכנים ובודקים את המערכות שלהם באופן שוטף; להגביל הרשאות גישה כך שאף מערכת חיצונית לא מקבלת יותר גישה ממה שהיא ממש צריכה; ולהפעיל ניטור שמתעד פעולות חשודות במקום לסמוך רק על יומני המערכת שהתוקף עשוי למחוק, כמו שקרה ב-Bitget.
המקרה של Bitget הוא תזכורת לכך שאבטחת מידע אינה נגמרת בגבול הרשת של העסק עצמו. כדאי להשתמש בהזדמנות הזו כדי למפות אילו ספקים חיצוניים מחוברים למערכות הקריטיות של העסק, ולבדוק מתי בפעם האחרונה נבחנה האבטחה שלהם - לפני שמישהו אחר יבדוק את זה במקומכם.
