El 25 de septiembre de 2026, la plataforma de criptomonedas Bitget se dirigió a la empresa SlowMist para investigar el robo de activos de los monederos calientes. Hasta el 29 de septiembre, los expertos identificaron actividad maliciosa relacionada con dos productos de seguridad de terceros, denominados como Producto A y Producto B. La actividad maliciosa inicial se registró el 31 de agosto, cuando el atacante utilizó una vulnerabilidad de día cero en el sistema del Producto A. Ejecutó un script oculto que le permitió acceder a la base de datos. Se registró el reutilización de scripts maliciosos en otros dos nodos del Producto A el 23 y 25 de septiembre. El informe señala que los entornos de estos servicios fueron comprometidos antes del inicio del robo activo de activos.
El 25 de septiembre, el atacante también accedió a la plataforma de gestión del Producto B. Utilizando las credenciales de un empleado interno, intentó tres veces inyectar comandos en los parámetros de la tarea para grabar archivos maliciosos y modificar la configuración del servidor. SlowMist recuperó archivos eliminados, entre los cuales se encontraba una herramienta para retirar activos. Esta herramienta modificó los parámetros de control de riesgos e inició operaciones de retiro de fondos. En la primera operación, se transfirieron 93 TRX a la cadena de bloques y, 11 segundos después, otros 0,84 ETH. Las transferencias de activos continuaron durante 2 horas y 52 minutos y se realizaron en varias cadenas de bloques.
El atacante continuó intentando modificar los registros de retiros en la base de datos y lanzó nuevas órdenes. Algunas de ellas, incluyendo dos órdenes falsificadas de retiro de bitcoin, no fueron procesadas con éxito. En el informe de SlowMist no se especifica el monto total de activos robados, la lista completa de tokens o las identificaciones de los productos involucrados. La investigación sobre cómo el atacante se movió entre los sistemas aún continúa.
Artículos relacionados
