Bitget-hack ontstond via lek in externe beveiliging

CEO Gracy Chen zegt dat de hackers geen private keys van Bitget hebben buitgemaakt. Ook de cold wallets van de exchange bleven buiten schot. Een deel van de gestolen crypto is inmiddels bevroren, maar hoeveel Bitget daadwerkelijk heeft teruggekregen, is nog niet bekend.

Externe software gaf hackers toegang

De aanvallers richtten zich niet rechtstreeks op de walletsleutels van Bitget. Ze maakten volgens Chen gebruik van een kwetsbaarheid in beveiligingssoftware van een externe leverancier.

Via dat lek kregen ze toegang tot interne inloggegevens met uitgebreide rechten. Daarmee konden ze frauduleuze opnameverzoeken versturen alsof deze vanuit de systemen van Bitget zelf kwamen.

Dit soort interne toegangsrechten speelt een belangrijke rol bij exchanges. Niet alleen private keys moeten goed beveiligd zijn. Ook medewerkers, software en externe beveiligingsdiensten kunnen toegang hebben tot systemen die opnames verwerken. Een zwakke plek in één onderdeel kan daardoor grote gevolgen hebben.

Bitget zegt het betreffende beveiligingslek inmiddels te hebben opgelost. De exchange heeft daarnaast de interne toegang beperkt, extra controles voor opnames ingevoerd en de monitoring van verdachte activiteiten uitgebreid.

Schade loopt op tot $388 miljoen

Bitget ontdekte de aanval op 24 september nadat verschillende hot wallets ongebruikelijke transacties uitvoerden. De exchange legde opnames daarna tijdelijk stil.

De eerste schatting van de schade lag rond $352 miljoen. Inmiddels spreekt Bitget over ongeveer $388 miljoen.

Een hot wallet is een cryptowallet die verbonden is met het internet. Exchanges gebruiken deze wallets om stortingen en opnames snel te verwerken. Dat maakt ze praktisch, maar ook kwetsbaarder voor digitale aanvallen.

Een cold wallet werkt anders. Deze opslag blijft grotendeels offline en is daardoor moeilijker op afstand aan te vallen. Volgens Chen zijn de cold wallets van Bitget tijdens deze hack niet getroffen.

Nog onduidelijk hoeveel crypto is teruggevonden

Een belangrijk vraagstuk blijft hoeveel van de gestolen crypto uiteindelijk kan worden teruggehaald.

Volgens Chen hebben verschillende partijen binnen de cryptosector geholpen om een deel van de assets te bevriezen. Bitget wil voorlopig geen concreet bedrag noemen. De exchange zegt eerst te willen controleren hoeveel crypto daadwerkelijk is veiliggesteld.

Dat proces kan tijd kosten. Hackers proberen gestolen crypto vaak snel over meerdere wallets en blockchains te verspreiden. Ze kunnen daarnaast tokens omwisselen om het volgen van de geldstromen moeilijker te maken.

Blockchaintransacties zijn openbaar, waardoor onderzoekers de bewegingen in veel gevallen wel kunnen blijven volgen. Het daadwerkelijk blokkeren of terughalen van crypto is echter een stuk ingewikkelder.

THORChain kan adressen niet zomaar blokkeren

Bitget keek tijdens het onderzoek ook naar THORChain. Dit is een gedecentraliseerd protocol waarmee gebruikers crypto rechtstreeks tussen verschillende blockchains kunnen wisselen.

De exchange wilde voorkomen dat adressen die aan de aanval gekoppeld zijn THORChain gebruiken om gestolen assets verder te verplaatsen.

Daar zit een technisch probleem. THORChain stelt dat het protocol individuele adressen niet selectief kan blokkeren zoals een gecentraliseerde exchange dat soms wel kan.

Chen zegt dat Bitget die beperking begrijpt. De exchange vraagt volgens haar niet om het netwerk stil te leggen of technisch onmogelijke maatregelen te nemen.

De situatie laat tegelijk zien waarom gestolen crypto moeilijker tegen te houden kan zijn zodra het via gedecentraliseerde protocollen wordt verplaatst. Er is daar geen centrale partij die simpelweg een account kan blokkeren.

Onderzoek naar mogelijke Noord-Koreaanse link loopt door

Ook de identiteit van de aanvallers is nog niet vastgesteld.

Bitget wees kort na de hack op technische aanwijzingen die mogelijk naar Noord-Korea verwezen. Chen benadrukt nu dat deze signalen voorlopig zijn en nog verder onderzocht worden.

Mandiant en SlowMist ondersteunen het onafhankelijke forensische onderzoek. Zij kijken onder meer naar de gebruikte infrastructuur, de werkwijze van de aanvallers en de bewegingen van de gestolen crypto.

Bitget wil pas verdere conclusies delen wanneer onderzoekers de bevindingen hebben geverifieerd. Een Noord-Koreaanse betrokkenheid staat op dit moment dus niet vast.

Wat betekent de Bitget-hack voor beleggers?

De Bitget-hack maakt duidelijk dat de beveiliging van een crypto-exchange verder gaat dan het beschermen van wallets. Exchanges zijn afhankelijk van interne systemen, medewerkers en externe softwareleveranciers. Elk onderdeel kan een mogelijk toegangspunt vormen.

Voor beleggers blijft het daarom belangrijk om te begrijpen waar hun crypto wordt bewaard. Tegoeden op een exchange zijn afhankelijk van de beveiligingsmaatregelen van die partij. Zelf crypto bewaren geeft meer controle, maar brengt ook eigen verantwoordelijkheid mee voor private keys en herstelgegevens.

De komende periode zal vooral duidelijk moeten worden hoeveel van de $388 miljoen Bitget kan terughalen en wat het forensische onderzoek zegt over de daders.

Conclusie

De Bitget-hack van ongeveer $388 miljoen ontstond volgens de exchange via een kwetsbaarheid in externe beveiligingssoftware. De aanvallers kregen daardoor uitgebreide interne toegangsrechten en konden ongeautoriseerde opnames uitvoeren. De private keys en cold wallets van Bitget zouden niet zijn getroffen.

Een deel van de gestolen crypto is inmiddels bevroren, maar Bitget heeft nog geen herstelbedrag bekendgemaakt. Ook het onderzoek naar een mogelijke link met Noord-Korea loopt nog. Voor beleggers onderstreept de aanval vooral hoe belangrijk de volledige beveiligingsketen van een crypto-exchange is.

Veelgestelde vragen

Hoe groot was de Bitget-hack?

Volgens de nieuwste schatting gaat het om ongeveer $388 miljoen aan crypto. Bitget schatte de schade aanvankelijk op ongeveer $352 miljoen.

Zijn de private keys van Bitget gestolen?

Volgens CEO Gracy Chen niet. De aanvallers kregen toegang via externe beveiligingssoftware. De private keys en cold wallets van Bitget zouden veilig zijn gebleven.

Zit Noord-Korea achter de Bitget-hack?

Dat is nog niet bevestigd. Bitget vond voorlopige technische aanwijzingen voor een mogelijke link, maar Mandiant en SlowMist onderzoeken deze signalen nog.