슬로우미스트가 Bitget 사건에 대한 단계별 조사 보고서를 발표했으며, 최초의 악의적 활동은 8월 31일까지 거슬러 올라갈 수 있다.

BlockBeats 소식에 따르면, 9월 30일 SlowMist 창립자 Cosine은 소셜 미디어에 Bitget 사건에 대한 단계별 조사 보고서를 발표했습니다.

보고서에 따르면, 공격자는 두 개의 제3자 보안 제품과 지갑 업무 호스트를 연이어 침입한 것으로 의심되며, 고도로 맞춤화된 출금 도구를 통해 크로스체인 자산 이전을 시도했습니다. SlowMist는 조사가 9월 29일까지 진행 중이며, 공격자가 여러 시스템 간에 구체적으로 어떻게 침투를 완료했는지는 추가 확인이 필요하다고 밝혔습니다.

조사에 따르면, 가장 이른 악성 활동은 8월 31일로 거슬러 올라갑니다. 당시 제3자 보안 제품 A의 한 노드 서버에 제로데이 취약점이 존재했으며, 공격자는 서비스 프로세스에서 숨겨진 스크립트를 실행하여 데이터베이스 비밀번호, 환경 변수를 읽고 데이터베이스에 연결을 시도했습니다. 9월 23일과 9월 25일에는 다른 두 노드에서도 유사한 숨겨진 스크립트 활동이 나타났으며, 이는 관련 서비스 환경이 자산 이전 전에 이미 침투당했을 가능성을 의미합니다.

9월 25일 새벽, 공격자는 내부 직원 계정을 도용하여 보안 제품 B의 관리 플랫폼에 접속한 것으로 의심되며, 00:07부터 여러 차례 작업 매개변수에 시스템 명령을 삽입하여 악성 파일 작성을 시도했습니다. 이후 공격자는 플랫폼의 Web 실행 진입점을 통해 코드를 제출하여 서버 구성 수정, 통신 중계 파일 작성, 악성 프로그램의 분할 업로드 및 조립을 시도했습니다.

SlowMist는 공격자가 삭제한 파일에서 지갑 출금 로직을 대상으로 개발된 맞춤형 도구 세트를 복구했다고 밝혔습니다. 이 도구는 위조 출금 매개변수를 생성하고 출금 요청을 구성하여 출금 프로세스를 호출합니다. 호스트 로그에 따르면, 관련 악성 프로그램은 9월 25일 01:49에 실행되기 시작했습니다.

온체인 기록에 따르면, 첫 번째 확인된 전출은 9월 25일 02:31에 발생했으며, 공격자 주소는 먼저 93 TRX를 수신하고 11초 후 0.84 ETH를 수신했습니다. 관련 이전은 당일 05:23까지 지속되어 약 2시간 52분 동안 여러 블록체인 네트워크에 걸쳐 이루어졌습니다. 자금이 유출되기 시작한 후, 공격자는 지갑 데이터베이스의 출금 기록을 직접 수정하고 로컬 출금 작업을 호출하려 시도하기도 했습니다. 로그에는 두 건의 위조 BTC 주문이 업무 처리 후 오류를 보고한 기록이 남아 있으며, 관련 시도는 05:22 이후에 발생했습니다.

이번 공개는 공격 경로가 제3자 보안 서비스, 관리 플랫폼, 지갑 호스트 및 출금 업무 프로세스를 포괄할 수 있음을 보여줍니다. SlowMist는 아직 공격자의 신원 귀속을 공개하지 않았으며, 최종 손실 규모와 영향을 받은 시스템 범위도 설명하지 않았습니다.