Хакер взломал биржу Bybit и вывел крипто средства более чем на $1,4 млрд

Получить консультацию экспертов AML Crypto

21 февраля 2025 года в 02:16:11 (PM UTC) криптовалютная биржа Bybit столкнулась с крупной хакерской атакой. Злоумышленники получили доступ к одному из холодных кошельков платформы и вывели 401 346 ETH, а также 113 375,548 синтетических ETH (в их числе 15 000 cmETH, 90 375 stETH, 8 000 mETH) и 90 USDT. На момент кражи общий эквивалент украденных средств превышал 1,4 миллиарда долларов США.

Итого, общая сумма похищенных средств составила 1,456,318,985 USD.
*согласно котировкам портала coinmarketcap.com на момент кражи

Компания AML Crypto в реальном времени отслеживает как злоумышленники пытаются отмыть украденные активы.

Об атаке

Во время перевода средств сотрудниками ByBit из холодного кошелька на горячий злоумышленники использовали сложную атаку, которая замаскировала интерфейс подписи транзакции. Это привело к тому, что подписанты видели корректный адрес и доверенный URL, однако фактически подписывали транзакцию, изменяющую логику смарт-контракта кошелька.

После успешной манипуляции хакеры получили полный контроль над холодным кошельком Ethereum и перевели все средства на неизвестный адрес.

После взлома похищенные средства хакеры переместили токены на множество адресов.

Несмотря на атаку, Bybit заверяет, что остальные активы клиентов находятся в безопасности, а вывод средств работает в штатном режиме. Биржа продолжает расследование и предпринимает меры для предотвращения подобных атак в будущем.

Отмывание средств

Легенда:

⚫ - адреса-эксплойтеры (злоумышленник)

🟣 - [13 - горячий кошелек биржи Bybit], [23,24,25,26 - децентрализованные сервисы]

О графе:

Граф связей показывает движение средств от адреса биржи Bybit [13 - 0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4], который подвергся атаке, к адресам, на которых на момент написания статьи остаются средства.

0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2;Основной эксплойтер;1,345 ETH 0xa4b2fd68593b6f34e51cb9edb66e71c1b4ab449e;Эксплойтер- транзит;0 ETH 0x36ed3c0213565530c35115d93a80f9c04d94e4cb;Эксплойтер;10,000 ETH 0xaf620e6d32b1c67f3396ef5d2f7d7642dc2e6ce9;Эксплойтер;10,000 ETH 0x3a21f4e6bbe527d347ca7c157f4233c935779847;Эксплойтер;10,000 ETH 0xfa3fcccb897079fd83bfba690e7d47eb402d6c49;Эксплойтер;10,000 ETH 0xfc926659dd8808f6e3e0a8d61b20b871f3fa6465;Эксплойтер;10,000 ETH 0x83c7678492d623fb98834f0fbcb2e7b7f5af8950;Эксплойтер;10,000 ETH 0x96244d83dc15d36847c35209bbdc5bdde9bec3d8;Эксплойтер;10,000 ETH 0x83ef5e80fad88288f770152875ab0bb16641a09e;Эксплойтер;10,000 ETH 0x51e9d833ecae4e8d9d8be17300aee6d3398c135d;Эксплойтер;10,000 ETH 0xcd1a4a457ca8b0931c3bf81df3cfa227adbdb6e9;Эксплойтер;10,000 ETH 0x1eb27f136bfe7947f80d6cee3cf0bfdf92b45e57;Эксплойтер;10,000 ETH 0x52207ec7b1b43aa5db116931a904371ae2c1619e;Эксплойтер;10,000 ETH 0x09278b36863be4ccd3d0c22d643e8062d7a11377;Эксплойтер;10,000 ETH 0x23db729908137cb60852f2936d2b5c6de0e1c887;Эксплойтер;10,000 ETH 0xb72334cb9d0b614d30c4c60e2bd12ff5ed03c305;Эксплойтер;10,000 ETH 0x2290937a4498c96effb87b8371a33d108f8d433f;Эксплойтер;10,000 ETH 0xb172f7e99452446f18ff49a71bfeecf0873003b4;Эксплойтер;10,000 ETH 0x6d46bd3aff100f23c194e5312f93507978a6dc91;Эксплойтер;10,000 ETH 0x30a822cdd2782d2b2a12a08526452e885978fa1d;Эксплойтер;10,000 ETH 0xb4a862a81abb2f952fca4c6f5510962e18c7f1a2;Эксплойтер;10,000 ETH 0x140c9ab92347734641b1a7c124ffdee58c20c3e3;Эксплойтер;10,000 ETH 0xcd7ec020121ead6f99855cbb972df502db5bc63a;Эксплойтер;10,000 ETH 0xf0a16603289eaf35f64077ba3681af41194a1c09;Эксплойтер;10,000 ETH 0x40e98feeebad7ddb0f0534ccaa617427ea10187e;Эксплойтер;10,000 ETH 0x959c4ca19c4532c97a657d82d97accbab70e6fb4;Эксплойтер;10,000 ETH 0x0e8c1e2881f35ef20343264862a242fb749d6b35;Эксплойтер;10,000 ETH 0x8c7235e1a6eef91b980d0fca083347fbb7ee1806;Эксплойтер;10,000 ETH 0x1bb0970508316dc735329752a4581e0a4babc6b4;Эксплойтер;10,000 ETH 0x660bfcea3a5faf823e8f8bf57dd558db034dea1d;Эксплойтер;10,000 ETH 0x5af75eab6bec227657fa3e749a8bfd55f02e4b1d;Эксплойтер;10,000 ETH 0xbc3e5e8c10897a81b63933348f53f2e052f89a7e;Эксплойтер;10,000 ETH 0x4c198b3b5f3a4b1aa706dac73d826c2b795ccd67;Эксплойтер;10,000 ETH 0x9271eddda0f0f2bb7b1a0c712bdf8dbd0a38d1ab;Эксплойтер;10,000 ETH 0x684d4b58dc32af786bf6d572a792ff7a883428b9;Эксплойтер;10,000 ETH 0xbde2cc5375fa9e0383309a2ca31213f2d6cabcbd;Эксплойтер;10,000 ETH 0xe69753ddfbedbd249e703eb374452e78dae1ae49;Эксплойтер;10,000 ETH 0x9ef42873ae015aa3da0c4354aef94a18d2b3407b;Эксплойтер;10,000 ETH 0xd3c611aed139107dec2294032da3913bc26507fb;Эксплойтер;10,000 ETH 0xe9bc552fdfa54b30296d95f147e3e0280ff7f7e6;Эксплойтер;10,000 ETH 0xbca02b395747d62626a65016f2e64a20bd254a39;Эксплойтер;10,000 ETH 0xdd90071d52f20e85c89802e5dc1ec0a7b6475f92;Эксплойтер;10,000 ETH 0x1542368a03ad1f03d96d51b414f4738961cf4443;Эксплойтер;0.1 ETH 0xeb0baa3a556586192590cad296b1e48df62a8549;Эксплойтер;10,000 ETH 0x723a7084028421994d4a7829108d63ab44658315;Эксплойтер;10,000 ETH 0xd5b58cf7813c1edc412367b97876bd400ea5c489;Эксплойтер;10,000 ETH 0x21032176b43d9f7e9410fb37290a78f4fed6044c;Эксплойтер;10,000 ETH 0xf03afb1c6a11a7e370920ad42e6ee735dbedf0b1;Эксплойтер;10,000 ETH 0xf302572594a68aa8f951fae64ed3ae7da41c72be;Эксплойтер;10,000 ETH 0xa5a023e052243b7cce34cbd4ba20180e8dea6ad6;Эксплойтер;10,000 ETH 0x1512fcb09463a61862b73ec09b9b354af1790268;Эксплойтер;10,000 ETH 0x55cca2f5eb07907696afe4b9db5102bce5feb734;Эксплойтер;10,000 ETH 0x12Be34bE067Ebd201f6eAf78a861D90b2a66B113;DelayedWithdraw sc exploiter;15,000 cmETH

События в реальном времени

21.02.2025 в 3:44 PM UTC Co-founder и CEO биржи Bybit Ben Zhou уже отреагировал на взлом биржи твитом:

Текст на скриншоте:

Где-то час назад мультиподписной холодный кошелек Bybit перевел средства на наш горячий кошелек. Однако, похоже, что эта конкретная транзакция была замаскирована — все подписанты видели поддельный интерфейс, который отображал правильный адрес, а URL-адрес принадлежал @safe.
Однако фактически подписанное сообщение изменило логику работы смарт-контракта нашего холодного ETH-кошелька. В результате хакер получил контроль над этим кошельком, а затем перевел все средства в неизвестный адрес.
Пожалуйста, будьте уверены, что все остальные холодные кошельки в безопасности. Все выводы средств работают в штатном режиме.
Я буду держать вас в курсе по мере поступления новой информации. Если какая-либо команда может помочь нам отследить украденные средства, будем благодарны.

Команда AML Crypto уже поставила на отслеживание все адреса злоумышленника и будет держать читателей в курсе событий.

Проверить адреса мошенников, которые осуществили данный взлом и получить подробную информацию об их активности и контрагентах вы можете самостоятельно в 2 клика с помощью нашего решения Btrace.

21.02.2025 в 5:15 PM UTC в прямом эфире выступил CEO ByBit Бен Чжо. Мы проанализировали его выступление и отметим ключевые тезисы далее:

Приветствие и введение: Бен Чжоу начал трансляцию с объяснения текущей ситуации и поблагодарил зрителей за участие. Он рассказал, что ByBit переживает очень сложный момент после взлома кошелька Ethereum. Инцидент произошел примерно два часа назад. Бен сообщил, что намерен использовать эфир для предоставления обновлений и ответов на вопросы сообщества.

Как произошел инцидент:

ByBit использует систему холодных кошельков и теплых кошельков для управления средствами. Когда баланс в горячем кошельке достигает определенной отметки, средства переводятся с холодного на теплый кошелек.
В процессе обычного перевода с холодного на теплый кошелек была проведена стандартная транзакция с использованием технологии multisig (мультиподпись) через сервис Safe. Это безопасная система с множеством подписантов, требующая подписи нескольких человек для завершения транзакции.
В момент подписания транзакции Бен, будучи последним подписантом, проверил правильность URL и адреса назначения на официальном сайте Safe. Он также использовал устройство Ledger для подписания транзакции.
Через 30 минут после подписания транзакции Бен получил экстренный звонок, что кошелек был "опустошен", то есть средства были украдены.

Подробности о хакерской атаке:

Хакеры сумели манипулировать интерфейсом подписания транзакции, возможно, взломав компьютеры всех подписантов или нарушив работу сервиса Safe. Хотя Бен уверен, что они использовали правильный URL и правильный адрес назначения, вероятно, злоумышленники изменили данные транзакции на уровне смарт-контракта.
Бен подчеркнул, что для Ethereum используются смарт-контракты, которые могут быть подвержены манипуляциям. Эта уязвимость, в частности, была использована для взлома Ethereum-кошелька ByBit.

Размер ущерба:

Примерно 401,000 ETH было украдено. Это касалось только Ethereum-кошелька, и это единственный кошелек, который был затронут.
По словам Бена, ни один другой актив, такой как Bitcoin или USDT, не был затронут этим инцидентом. Кошельки, использующие другие токены, не пострадали.
Несмотря на это, компания активно работает над устранением последствий инцидента и восстановлением утраченных средств.

Текущая ситуация с выводами средств:

ByBit продолжает обрабатывать запросы на вывод средств, но количество запросов значительно возросло за последние несколько часов, что привело к задержкам.
На текущий момент выводы средств остаются открытыми, но для некоторых крупных запросов требуется дополнительная проверка со стороны команды безопасности.
Важно, что несмотря на высокую нагрузку, компания по-прежнему выплачивает средства, и в целом 70% запросов на вывод уже были обработаны.

Ответы на вопросы клиентов:

Бен гарантировал, что средства клиентов в безопасности, так как ByBit придерживается принципа "1:1" по резервам.
Бен отметил, что несмотря на кражу средств с кошелька Ethereum, компания имеет достаточно резервов для покрытия убытков из своей казны, если потребуется.
Вопрос о возможной компенсации украденных средств: ByBit планирует обратиться к партнерам и использовать свой резервный фонд для покрытия потерь, если средства не удастся вернуть.

Обработка инцидента и меры безопасности:

ByBit сотрудничает с командой безопасности и правоохранительными органами, чтобы восстановить украденные средства и выяснить подробности взлома.
В данный момент идет расследование, и команда работает с внешними специалистами, чтобы отследить украденные средства и, возможно, вернуть их через централизованные биржи или другие каналы.
Бен сообщил, что команда безопасности ByBit внимательно проверяет все другие кошельки, чтобы убедиться, что нет других уязвимостей. На данный момент только Ethereum-кошелек был взломан.

Шаги, предпринимаемые для восстановления:

В ответ на проблему с ликвидностью Ethereum, ByBit договаривается с партнерами о предоставлении "bridge loan" (моста) — ссуды, которая поможет покрыть нехватку ликвидности и обеспечить возможность вывода средств.
Бен подчеркнул, что на данный момент компания не покупает Ethereum на рынке, а полагается на помощь партнёров для покрытия ликвидности.
В дополнение к этому, ByBit продолжает анализировать ситуацию с Safe и работает с их командой для выяснения всех подробностей инцидента.

Ответы на конкретные вопросы о восстановлении:

Компания ожидает поступление bridge loan, чтобы покрыть этот дефицит и возобновить нормальный вывод средств.
Проблемы с ликвидностью затронули только Ethereum-активы, и другие токены, такие как Bitcoin или USDT, не пострадали.
Для крупных институциональных клиентов ByBit также приоритетно обрабатывает выводы средств, но этим клиентам необходимо подождать из-за необходимости вручную проверять транзакции.

Заключение:

Несмотря на инцидент, Бен Чжоу выразил уверенность, что компания будет продолжать работать, и средства клиентов будут восстановлены. Он поблагодарил партнеров и клиентов за поддержку.
ByBit продолжает расследовать инцидент, и вскоре будет предоставлена дополнительная информация.
Компания планирует провести более тщательную проверку безопасности и улучшение процедур, чтобы предотвратить подобные инциденты в будущем.

Arkham Intelligence объявила о запуске программы вознаграждения для исследователей, целью которой было привлечение помощи в расследовании масштабного взлома криптобиржи Bybit. Размер награды составлял 50 000 ARKM (около $32 000).
ссылка: https://x.com/arkham/status/1892975780218409203

Спустя некоторое время аналитик ZachXBT представил свою версию произошедшего, предоставив им отчет, включающий:

Анализ тестовых транзакций и связанных кошельков.
Данные судебной экспертизы и временные метки.

Arkham Intelligence сочли доводы ZachXBT убедительными и доказанными, объявив его победителем программы вознаграждения. Предоставленная информация была передана команде Bybit для дальнейшего расследования.

Возможная причастность хакерской группировки Lazarus Group к атаке была отмечена как ключевой элемент расследования, однако окончательные выводы требуют дополнительной проверки.

Хотите узнать больше и получить консультацию экспертов? Оставьте email и мы с вами оперативно свяжемся!

Проверьте блокчейн-адрес с помощью Btrace

За секунды определите уровень риска адреса контрагента, узнайте источник его средств и примите взвешенное решение о взаимодействии с ним.

первая проверка бесплатно

ПРЕДОТВРАТИте БЛОКИРОВКУ СРЕДСТВ

ОГРАДИте себя от мошенников

избегите проблем с законом

Смотрите также