Злом криптобіржі Bybit, що призвів до втрати $1,46 млрд, відбувся через компрометацію облікових даних розробника гаманця Safe (Wallet).
Експерти з кібербезпеки з компаній Sygnia та Verichains встановили, що за атакою стоїть північнокорейська хакерська група Lazarus Group.
Як стався злом Bybit?
За даними Sygnia, зловмисники впровадили шкідливий JavaScript-код у ресурси Safe (Wallet), розміщені в хмарній інфраструктурі AWS S3. Код активувався під час взаємодії з контрактними адресами Bybit, що вказує на ретельно сплановану атаку.
Хакери діяли швидко: після отримання контролю над активами вони видалили модифіковані файли та замінили їх на вихідні, намагаючись приховати сліди злому. Проте слідчим вдалося виявити зміни, внесені 19 лютого 2025 року, які дозволяли підмінювати адресу одержувача під час затвердження транзакцій.
Реакція Safe (Wallet) та Bybit
Команда Safe підтвердила компрометацію облікових даних і запевнила, що повністю змінила конфігурацію інфраструктури, оновила ключові компоненти та замінила всі облікові дані. Вони наголосили, що безпосередньо інфраструктура Bybit не була зламана.
Bybit поки не оголосила про плани компенсації користувачам, але заявила, що тісно співпрацює з фахівцями для розслідування інциденту та запобігання подібним атакам у майбутньому.
Схожості з попередніми атаками на біржі
Раніше видання Сryptonews повідомляло, що засновник DefiLlama 0xngmi звернув увагу на подібність методу злому до атаки на індійську біржу WazirX у липні 2024 року. Тоді зловмисники отримали доступ до адміністративного акаунту та вивели токени PEPE, GALA та USDT, обмінявши їх на Ethereum.
Цікаво, що атаку на WazirX також пов’язували з північнокорейськими хакерами. В Індії навіть затримали підозрюваного, який, ймовірно, навмисно створив і продав обліковий запис, що використовувався для доступу до системи.