Bybit Инцидент безопасности: Хронология событий и ЧЗВ

Введение

Bybit подверглась серьезному хакерскому взлому 21 февраля 2025 года, затронувшему один из холодных кошельков Ethereum Bybit и приведшему к убыткам в размере почти 1,5 миллиарда долларов. Эксплойт связывают с поддерживаемой государством северокорейской группировкой Lazarus Group.

Хронология событий

21 февраля 2025 г., 13:30 UTC — Bybit провела плановый перевод с одного из наших холодных Ethereum-кошельков с мультиподписью на теплый кошелек, сначала переведя 30 000 ETH.



21 февраля 2025 г., 14:13 UTC— Хакеры использовали уязвимость в интерфейсе мультисиг-холодного кошелька Safe в ходе сложной фишинговой атаки, маскируя конкретную транзакцию, что привело к изменению логики смарт-контракта холодного кошелька ETH. Это позволило хакерам вывести средства из скомпрометированного холодного кошелька, распределив их по 39 адресам.



Сколько было потеряно в результате взлома?

Был скомпрометирован только один Bybit холодный кошелек, что привело к потере 1,46 миллиарда долларов США следующим образом:

• 401 347 ETH($1,12 миллиарда)

• 90 375 stETH ($253,16 млн)

• 15 000 cmETH ($44,13 млн)

• 8 000 mETH(23 миллиона долларов)



21 февраля 2025 г., 15:44 UTC— Сооснователь и генеральный директор Bybit Бен Чжоутвитнуло развивающейся ситуации, заблаговременно проинформировав сообщество о том, что хакеры «взяли под контроль конкретный ETH холодный кошелек», и заверив пользователей, что Bybit платежеспособен и может покрыть убытки, гарантируя обеспечение клиентских активов 1:1.



21 февраля 2015 г., 16:07 UTC — Бен подтвердил в своем Xпостчто Bybit платежеспособен, даже если убытки от взлома не будут возмещены, и все активы клиентов обеспечены 1 к 1, так что мы можем покрыть убытки.



21 февраля 2025 г., 17:15 UTC— Бен отправился вПрямой эфирчтобы прозрачно объяснить ситуацию затронутым пользователям.



Как произошел взлом?

В результате фишинговой атаки на подписантов холодного кошелька Ethereum с мультиподписью, интерфейс транзакций и Safe был подделан, что позволило хакеру изменить логику смарт-контракта мультисиг-кошелька. Это позволило хакеру получить контроль над холодным кошельком Bybit и вывести средства. Наша команда все еще расследует, как хакеру удалось подделать холодный кошелек, и в ближайшее время мы опубликуем полный отчет о происшествии.



Нет планов покупать ETH

Бен заявил во время прямого эфира, что в настоящее время нет планов по приобретению ETH. Однако он подчеркнул, что компания активно ищет помощи и использует бридж-кредиты от партнеров, чтобы справиться с ограничениями ликвидности в этот критический период.



Другие холодные кошельки безопасны

Бен уточнил, что Биткоин остается основным резервным активом, и что другие холодные кошельки не затронуты.



Выводы как обычно

Бен заверил пользователей, что все продукты и услуги работают в обычном режиме. Вывод средств не приостановлен и продолжает обрабатываться в штатном режиме.



Обычные P2P-сервисы

Руководитель отдела деривативов и институциональных клиентов Bybit, Шуньет Джан, подтвердил во время прямого эфира, что P2P-сервисы платформы работают в штатном режиме.



21 февраля 2025 г., 19:09 UTC— ZachXBT представил неопровержимые доказательства, связывающие нападение с Lazarus Group, северокорейской киберпреступной организацией, и Полученобаунти от Arkham Intelligence. Его анализ включал тестовые транзакции, связанные кошельки, аналитические графы и сведения о времени операций.СогласноПо данным ZachXBT, кластер адресов также связан со взломами бирж Phemex и BingX.



21 февраля 2025 года, 20:09 UTC — Bitgetвнесено40 000 ETH в Bybit, что демонстрирует решительную поддержку со стороны отраслевых партнеров и коллег.



21 февраля 2025 года, 21:07 UTC— Bybitсообщенодело соответствующим органам и предоставит обновления, как только появится дополнительная информация. Компания активно сотрудничала с поставщиками ончейн-аналитики для идентификации и разделения затронутых адресов.



22 февраля 2025 г., 00:54 UTC — Бен объявленочто 99,994% из более чем 350 000 запросов на вывод средств были обработаны в течение 10 часов после взлома, при этом команда Bybit работала круглосуточно, чтобы обеспечить бесперебойную работу и развеять опасения клиентов.



22 февраля 2025 г., 01:08 UTCБезопасныйподтвержденочто не было ни компрометации его кодовой базы, ни наличия вредоносных зависимостей, и никакие другие адреса Safe не пострадали. После инцидента Safe временно приостановила функциональность {Wallet} для проведения тщательной проверки сервиса.



22 февраля 2025 г., 01:21 UTC— Hackenуказаночто взлом Bybit был значительным и нанес сильный удар по отрасли. Однако резервы Bybit по-прежнему превышают его обязательства, а средства пользователей остаются полностью обеспеченными.



22 февраля 2025 г., 02:51 UTC — Бен твитнулчто все выводы средств были обработаны и платформа возобновила работу в штатном режиме менее чем через 12 часов после инцидента со взломом на сумму 1,4 миллиарда долларов, крупнейшего в индустрии на сегодняшний день.



22 февраля 2025 г., 07:29 UTC — Согласно последним данным мониторинга от SoSoValueи ончейн команда безопасностиTenArmor, более 4 миллиардов долларов США поступили на торговую Bybit платформу за последние 12 часов. Сравнительный анализ притока средств показывает, что этот приток капитала полностью покрыл дефицит, вызванный вчерашним взломом.



22 февраля 2025, 08:52 UTC— Chainflipответилв X, заявив, что, хотя они приложили все усилия для оказания помощи, как децентрализованный протокол они не могут полностью блокировать, замораживать или перенаправлять любые средства.



22 февраля 20225, 11:00 UTC — Бен и Шуньет провели встречу на китайском языке AMA с ETHPanda, Wu блокчейн, генеральным директором Bitget Грейси Чен и другими участниками, чтобы обсудить инцидент со взломом и поделиться своими идеями о том, как с ним справиться.



22 февраля 2025 года, 13:15 UTC— генеральный директор Tether Паоло Ардоинообъявленочто Tether заморозил 181 000 USDT, связанные со взломом.



22 февраля 2025 года, 13:45 UTC— BybitОбработанооколо 4 миллиардов долларов вывода средств после резкого скачка (после эксплойта). Hacken подтвердила, что пользовательские средства Bybit остаются полностью обеспеченными, а резервы по-прежнему превышают обязательства.



22 февраля 2025 г., 15:32 UTC — Bybit запустила программу вознаграждения за возврат средств (Recovery Bounty Program) с вознаграждением в размере 10% от суммы похищенных средств. Для участия свяжитесь с Bybit по адресу bounty_program@bybit.com



22 февраля 2025 года, 16:01 UTC — Бен вышел в прямой эфир AMAс Crypto Town Hall, чтобы обсудить, как он справлялся с ситуацией после взлома; поддержку со стороны индустрии, которую Bybit получил от коллег, таких как Bitget; и то, как команда Bybit неустанно работала над разрешением кризиса.



Бен также заявил, что откат Ethereum должен быть решением сообщества, а не индивидуальным выбором, возможно, посредством голосования.



23 февраля 2025 г., 04:32 UTC—Бенподчеркнутыйчто проблема выходит за рамки Bybit или любой отдельной организации, заявив: «Речь идет о подходе нашей отрасли к хакерам». Он призвал eXch пересмотреть свое решение и помочь в блокировке вывода средств.



23 февраля 2025, 08:55 UTC— Bybitобъявленочто все депозиты и выводы средств возобновлены в обычном режиме.



23 февраля 2025 г., 15:41 UTC— Всего было заморожено 42,89 млн долларов похищенных средств,благодаря скоординированным усилиям отраслевых партнеров, включая Tether, THORchain, ChangeNOW, FixedFloat, Avalanche, CoinEx, Bitget и Circle. Кроме того, протокол mETH восстановил 15 000 токенов cmETH стоимостью почти 43 миллиона долларов.



24 февраля 2025, 02:35 UTC— Спустя два дня после взлома, BybitПолучено1,23 млрд долларов США в ETH через бридж-кредиты, депозиты китов и внебирдебные покупки, что фактически покрыло дефицит ETH после эксплойта.



24 февраля 2025 г., 09:12 UTC— Hacken, независимая компания по безопасности блокчейнов, выпущенобновленный отчет о доказательстве резервов (PoR). Bybit полностью устранил дефицит ETH по клиентским активам в течение 72 часов благодаря стратегическим партнерствам с Galaxy Digital, FalconX, Wintermute и другими, а также при поддержке Bitget, MEXC и DWF Labs. Ключевые активы, такие как BTC, ETH, SOL, USDT и USDC, превышают 100% коэффициенты обеспечения. Пользователи могут ознакомиться с полным отчетомздесь.



25 февраля 2025 г., 14:40 UTC — Бен объявленозапуск программы LazarusBounty — первой в индустрии баунти-платформы, которая специализируется на возврате средств, предположительно украденных поддерживаемой государством северокорейской группировкой Lazarus в результате эксплойта Bybit.



26 февраля 2025 г., 15:17 UTC — Бен общийпредварительные отчеты о взломе. Эти отчеты, подготовленные Sygnia Labs и Verichains, указывают на то, что основной причиной взлома стал вредоносный JavaScript-код на платформе Safe{Wallet}, и никаких уязвимостей в инфраструктуре Bybit обнаружено не было. Для получения дополнительной информации загрузите отчетыздесь.



28 Февраля 2025 г., 13:25 UTC — Бен объявленообновление V1.1 платформы LazarusBounty, в котором добавлено следующее:

• анализ адреса хакера при кросс-чейн атаке

• канал Discord

• баланс кошелька на адресе хакера

• верифицированный рейтинг баунти-хантеров



#LearnWithBybit