Отчет: взлом Bybit произошел из-за компрометации учетных данных Safe

• Взлом Bybit произошел через учетные данные разработчика Safe (Wallet).
• Lazarus Group украла Ethereum на сумму $1,46 млрд, воспользовавшись уязвимостью, внедренной в облачную инфраструктуру AWS.
• Инфраструктура Bybit не была затронута — взлом произошел через целенаправленную атаку на Safe(Wallet).

Компания Bybit подтвердила, что недавний взлом на сумму $1,46 млрд стал результатом компрометации учетных данных разработчика Safe (Wallet). Согласно выводам экспертов из фирм Sygnia и Verichains, хакеры из северокорейской Lazarus Group получили несанкционированный доступ к инфраструктуре проекта.

По данным Sygnia, атакующие внедрили вредоносный JavaScript-код в ресурсы Safe (Wallet), размещенные в облаке AWS S3. Он запустился при взаимодействии с контрактными адресами Bybit и одним неизвестным кошельком, что указывает на тщательно спланированную операцию.

Злоумышленники действовали быстро: через несколько минут после получения контроля над активами они удалили модифицированные файлы, заменив их на исходные версии. Таким образом хакеры стремились скрыть следы взлома, считают аналитики.

Однако следователям удалось найти сохранившиеся данные на устройствах подписантов, которые указали на изменения, внесенные 19 февраля 2025 года. Анализ этой информации показал, что внедренный преступниками код дал возможность подменить адрес получателя в момент утверждения транзакции.

Команда Safe (Wallet) подтвердила выводы экспертов. Разработчики заверили, что полностью изменили конфигурацию инфраструктуры, пересобрали ключевые компоненты и сменили все учетные данные для устранения вектора атаки. По их словам, инфраструктура биржа не подвергалась взлому.

Ранее стало