หลังการกลับมาเปิดให้ถอนเงิน ทุนกลับไม่ลดลงแต่เพิ่มขึ้น Bitget พลิกสถานการณ์กลับมาได้ภายในห้าวันได้อย่างไร?

ผู้เขียนต้นฉบับ: WhiteRunner

ในช่วงไม่กี่ปีที่ผ่านมา การที่-exchange เผชิญเหตุการณ์ด้านความปลอดภัยครั้งใหญ่ไม่ใช่เรื่องแปลกอีกต่อไป จุดโจมตีก็ค่อยๆ ขยายจาก hot wallet ระบบลายเซ็น ไปสู่สิทธิ์ภายในและบริการของบุคคลที่สาม เมื่อระบบซับซ้อนขึ้นเรื่อยๆ ขอบเขตที่-exchange ต้องป้องกันก็ยิ่งกว้างขึ้น

เมื่อวันที่ 25 กันยายน Bitget ประสบเหตุการณ์ด้านความปลอดภัย และในที่สุดยืนยันได้ว่ามีทรัพย์สินมูลค่าประมาณ 388 ล้านดอลลาร์ได้รับผลกระทบ CEO Gracy Chen กล่าวในการไลฟ์สตรีมภายหลังว่า นี่เป็นเหตุการณ์ด้านความปลอดภัยลักษณะนี้ครั้งแรกในรอบแปดปีของการดำเนิน平台 จากผลการสอบสวนที่ SlowMist เปิดเผย กิจกรรมอันตรายที่ตรวจพบ earliest เกี่ยวข้องกับ zero-day vulnerability บนโหนดของผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม การสอบสวนของ Mandiant และ SlowMist ต่างชี้เส้นทางโจมตีไปที่โครงสร้างพื้นฐานด้านความปลอดภัยของบุคคลที่สามที่ถูกบุกรุก และในที่สุดก็เข้าสู่สภาพแวดล้อมกระเป๋าเงินของ Bitget

หลังเกิดเหตุ Bitget ประกาศว่าจะให้กองทุนคุ้มครองผู้ใช้ (User Protection Fund) เป็นผู้รับความสูญเสีย ณ ขณะเกิดเหตุ กองทุนนี้ซึ่งก่อตั้งในปี 2022 ถือครอง 5,500 BTC มูลค่ากว่า 464 ล้านดอลลาร์ Gracy สัญญาว่าหลังการใช้งาน กองทุนจะได้รับการเติมเต็มกลับสู่ระดับ 300 ล้านดอลลาร์ภายในหนึ่งสัปดาห์ คืนสู่ขนาด基准ที่กำหนดไว้เมื่อก่อตั้งในปี 2022 เมื่อวันที่ 30 กันยายน คำสัญญานี้ได้ปฏิบัติตามอย่างตรงเวลา

การถอนเงินก็เริ่มกลับมาตามตารางเวลาที่ประกาศไว้ก่อนหน้านี้ เมื่อวันที่ 28 กันยายน เวลา 16:00 BTC เปิดให้ถอนก่อน หลังวันที่ 29 ETH กลับมาให้ถอนได้ hot wallet ที่เกี่ยวข้องก็เปลี่ยนจากไหลออกสุทธิเป็นไหลเข้าสุทธิอย่างรวดเร็ว ไม่นานยอดคงเหลือก็สูงกว่าจะดับเริ่มต้นก่อนเปิดถอนเล็กน้อย ความไว้วางใจของผู้ใช้กำลังกลับคืนมา ณ เวลาที่เผยแพร่ ทุกเหรียญกลับมาให้ถอนได้แล้ว

จากการถูกขโมยเกือบ 400 ล้านดอลลาร์ ถึงการกลับมาถอนได้และเงินทุนไหลกลับเข้า เพียงไม่กี่วันเท่านั้น แฮกเกอร์ย้ายทรัพย์สินได้อย่างไรโดยที่ private key ไม่รั่วไหล? กองทุนคุ้มครองที่เตรียมไว้สี่ปีถูกนำมาใช้จริงได้อย่างไร? Bitget ทำอะไรบ้างจึงทำให้เหตุการณ์เริ่มมีจุดเปลี่ยน?

1. แฮกเกอร์ใช้ zero-day vulnerability เจาะผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม

จุดที่พิเศษของการโจมตีครั้งนี้ คือ private key ของ Bitget ไม่รั่วไหล cold wallet ก็ไม่ถูกเจาะ และไม่ใช่ช่องโหว่ของ smart contract จุดเจาะที่แฮกเกอร์พบกลับเป็นผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามที่แพลตฟอร์มใช้งาน

ตามผลการสอบสวนที่ Bitget เปิดเผยในขณะนี้ เมื่อเวลาประมาณ 02:31 น. ตามเวลาปักกิ่งของวันที่ 25 กันยายน บนเชนเริ่มปรากฏธุรกรรมขนาดเล็กที่เกี่ยวข้องซึ่งยืนยันเป็นรายแรก จากนั้นก็เริ่มมีการโยกย้ายทรัพย์สินขนาดใหญ่ขึ้น

Gracy กล่าวในการให้สัมภาษณ์กับ The Block ว่า ตั้งแต่ 02:58 ถึง 04:09 ผู้โจมตีได้ทำธุรกรรมขนาดใหญ่ 17 รายการผ่านหลายเครือข่าย เช่น Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism และ Avalanche เมื่อการนับรวมภายหลังเสร็จสิ้น Bitget ยืนยันในที่สุดว่าเหตุการณ์ครั้งนี้ส่งผลกระทบต่อทรัพย์สินมูลค่าประมาณ 388 ล้านดอลลาร์

เวลา 03:05 หรือประมาณ 7 นาทีหลังการโอนขนาดใหญ่รายการแรกเกิดขึ้น ระบบกระทบยอดของ Bitget พบความแตกต่างของเงินทุนอย่างชัดเจนและสั่งระงับการถอนทั่วทั้งแพลตฟอร์ม เวลา 03:14 แพลตฟอร์มเปิดการตอบสนองฉุกเฉินระดับสูงสุด เนื่องจากในขณะนั้นยังไม่สามารถตัดความเป็นไปได้ที่ private key จะรั่วไหลได้ ทีมกระเป๋าเงินจึงโยกย้ายทรัพย์สินไปยัง cold wallet และปิดบริการถอนและลายเซ็นของกระเป๋าเงิน

จากนั้นทีมความปลอดภัยก็ยืนยันสาเหตุรากของเหตุการณ์ ตามห่วงโซ่การโจมตีที่เปิดเผยในขณะนี้ สิ่งที่แฮกเกอร์ใช้คือ zero-day vulnerability ที่ไม่เคยรู้จักมาก่อนของผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามรายหนึ่ง

zero-day vulnerability ที่ว่านี้ หมายถึงข้อบกพร่องด้านความปลอดภัยที่ผู้ผลิตและผู้ใช้งานยังไม่รู้จักมาก่อน และไม่มีแพตช์สำเร็จรูปให้ติดตั้งล่วงหน้าได้ พูดอีกอย่างคือ นี่เป็นจุดโจมตีที่ไม่เคยรู้จักมาก่อน สิ่งที่เกิดขึ้นต่อไปต่างหากที่เป็นกุญแจสำคัญต่อการเข้าใจความสูญเสียเกือบ 400 ล้านดอลลาร์ครั้งนี้

ด้วยการใช้ช่องโหว่นี้ ผู้โจมตีขโมยข้อมูลรับรองสิทธิ์ในเครือข่ายภายในผ่านช่องโหว่ของผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม ปลอมแปลงคำสั่งถอนไปยังระบบกระเป๋าเงิน หลอกให้กระเป๋าเงินดำเนินการโอนผิดปกติที่ข้ามการตรวจสอบความเสี่ยง ตลอดกระบวนการ private key ไม่รั่วไหล และ cold wallet ก็ไม่ได้รับผลกระทบ

Gracy ยังเปิดเผยในภายหลังว่า ผู้โจมตีได้ลบร่องรอยที่เกี่ยวข้องบางส่วนหลังดำเนินการเสร็จ เพิ่มความยากในการสอบสวนและย้อนรอยกระบวนการโจมตี

หลังจากนั้น Bitget ปิดใช้งานฟังก์ชันของบุคคลที่สามที่ได้รับผลกระทบ และออกข้อมูลรับรองภายในใหม่ เรียกคืนและแบ่งแยกสิทธิ์ที่มีความอ่อนไหวสูงอีกครั้ง พร้อมทั้งเพิ่มการตรวจสอบอิสระสำหรับการถอน ขณะนี้ Mandiant และ SlowMist ยังคงมีส่วนร่วมในการสอบสวนเชิงนิติวิทยาศาสตร์อิสระและการติดตามเงินทุน

คำเตือนโดยตรงที่เหตุการณ์นี้ทิ้งไว้ให้อุตสาหกรรม คือขอบเขตความปลอดภัยของ-exchange ไม่ใช่แค่ private key และ cold wallet อีกต่อไป ซอฟต์แวร์ความปลอดภัย โครงสร้างพื้นฐานกระเป๋าเงิน และบริการของบุคคลที่สามอื่นๆ ที่สามารถเข้าถึงระบบหลักได้ ก็อาจกลายเป็นจุดโจมตีได้เช่นกัน

2. กองทุนคุ้มครองเริ่มถูกนำออกมาใช้ การถอนกลับคืนตามตารางเวลา

หลังเกิดเหตุ สิ่งที่ทดสอบ-exchange อย่างแท้จริงต่อไปคือ ใครควรรับผิดชอบความสูญเสีย และฝ่ายบริหารจะเผชิญหน้าและปลอบใจผู้ใช้อย่างไร

Bitget นำกองทุนคุ้มครองออกมาใช้ก่อน

กองทุนนี้ก่อตั้งในปี 2022 และใช้ระดับ 300 ล้านดอลลาร์เป็นขนาด基准มาโดยตลอด ณ ขณะเกิดเหตุ กองทุนถือครอง 5,500 BTC มูลค่ากว่า 464 ล้านดอลลาร์ เพียงพอที่จะครอบคลุมความเสียหายที่ยืนยันในที่สุดประมาณ 388 ล้านดอลลาร์

Bitget ระบุชัดเจนในภายหลังว่า กองทุนคุ้มครองจะเป็นผู้รับผลกระทบด้านเงินทุนจากเหตุการณ์ครั้งนี้ ยอดคงเหลือในบัญชีผู้ใช้จะไม่ได้รับผลกระทบ

ก่อนวันที่ 28 กันยายนที่ BTC จะกลับมาให้ถอน บนเชนก็เริ่มเห็นกองทุนคุ้มครองเริ่มโอนทรัพย์สินไปยัง hot wallet นักวิเคราะห์บนเชน Ai Yi ตรวจพบว่าในตอนแรกมี 2,042.28 BTC โอนจากที่อยู่กองทุนคุ้มครองที่เกี่ยวข้องเข้าสู่ hot wallet ของ Bitget (การติดตามกองทุนคุ้มครอง Bitget บนเชน)

นี่คือหนึ่งในจุดที่การจัดการครั้งนี้ของ Bitget น่าอ้างอิงที่สุดสำหรับอุตสาหกรรม

กองทุนคุ้มครองนี้ไม่ใช่แผนชดเชยที่ประกาศขึ้นมาฉุกเฉินหลังเกิดเหตุ แต่ถูกสร้างขึ้นเมื่อสี่ปีก่อน เงินทุนสำรองไว้ระยะยาว ที่อยู่กระเป๋าเงินเปิดเผยตรวจสอบได้สาธารณะ พร้อมมีขนาด基准ที่ชัดเจน หลังเกิดเหตุจริงจึงนำมาใช้จริง และหลังใช้แล้วก็เติมเต็มกลับตามมาตรฐานเดิม

กองทุนคุ้มครองแก้ปัญหาการรับผิดชอบความสูญเสีย ครั้งนี้ความสูญเสียเกือบ 400 ล้านดอลลาร์ในที่สุดไม่ได้ถูกผลักไปให้ผู้ใช้ Gracy กล่าวว่า Bitget จะเติมกองทุนคุ้มครองกลับสู่ระดับอย่างน้อย 300 ล้านดอลลาร์ภายในหนึ่งสัปดาห์ จากข้อมูลติดตามบนเชนก็ปฏิบัติตามอย่างตรงเวลา

Bitget ยังเผยแพร่รายงานพิสูจน์ทุนสำรอง (PoR) ฉบับที่ 47 เมื่อวันที่ 30 กันยายน โดยมีอัตราทุนสำรองรวม 131% ครอบคลุมสินทรัพย์ 19 ประเภท ในนั้นอัตราทุนสำรองของ BTC, ETH, USDT และ USDC อยู่ที่ 142%, 110%, 107% และ 154% ตามลำดับ

นอกจากเรื่องเงินทุน วิธีการสื่อสารของ Bitget ในช่วงไม่กี่วันนี้ก็值得关注เช่นกัน

Gracy ตอบคำถามต่อเนื่องประมาณสามชั่วโมงในการไลฟ์สตรีมที่หันหน้าสู่คอมมิวนิตี้ ส่วน Xie Jiayin ก็อัปเดตความคืบหน้าผ่านโซเชียลมีเดียและคอมมิวนิตี้อย่างต่อเนื่อง การไลฟ์สามชั่วโมงไม่ใช่ประเด็นสำคัญ สิ่งที่สำคัญกว่าคือ ในช่วงไม่กี่วันที่ความสับสนวุ่นวายที่สุดของเหตุการณ์ ฝ่ายบริหารยืนอยู่แถวหน้าเพื่อตอบคำถามตลอด

และคำกล่าวสำคัญๆ หลายครั้งก็ให้ข้อมูลที่ชัดเจนหรือแผนขั้นถัดไปเสมอ

ใครรับผิดชอบความสูญเสีย ก็ชัดเจนอย่างรวดเร็วว่ากองทุนคุ้มครองครอบคลุม หลังมูลค่าผลกระทบปรับจาก 351.6 ล้านดอลลาร์เป็น 388 ล้านดอลลาร์ ก็อธิบายเหตุผลของการเปลี่ยนแปลงตัวเลข ก่อนยืนยันจุดโจมตีได้ ก็ไม่รีบสรุปตัวตนและวิธีการโจมตีของแฮกเกอร์ หลังการสอบสวนคืบหน้า จึงค่อยๆ เปิดเผยรายละเอียด เช่น ผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม zero-day vulnerability ข้อมูลรับรองสิทธิ์สูง และคำสั่งถอนปลอม

การกลับมาถอนได้ก็เช่นกัน

เหตุการณ์ครั้งนี้เกี่ยวข้องกับหลายเหรียญและหลายเครือข่าย ขอบเขตการตรวจสอบไม่ได้จำกัดอยู่แค่กระเป๋าเงินเดียว Bitget ไม่ได้เปิดถอนทั้งหมดในครั้งเดียว แต่ทยอยเปิดเป็น批次หลังยืนยันกระเป๋าเงิน เครือข่าย และการขจัดความเสี่ยงที่เกี่ยวข้องทีละรายการ

เมื่อวันที่ 26 กันยายน แพลตฟอร์มประกาศตารางเวลาการกลับคืนที่ชัดเจน: วันที่ 28 กันยายนคืน BTC วันที่ 29 กันยายนคืน ETH และเครือข่ายที่เกี่ยวข้อง วันที่ 30 กันยายนคืน USDT และเครือข่ายที่เกี่ยวข้อง ส่วนโทเค็นอื่นๆ บริการ fiat และ C2C กำหนดคืนในวันที่ 2 ตุลาคม ก่อนเวลาที่เผยแพร่ ได้ตรวจสอบยืนยันว่าได้กลับคืนตามกำหนดทั้งหมด

เมื่อพิจารณาว่านี่เป็นเหตุการณ์ด้านความปลอดภัยครั้งใหญ่ที่เกี่ยวข้องกับหลายเหรียญ หลายเครือข่าย ซอฟต์แวร์ของบุคคลที่สาม และสิทธิ์ภายใน การให้แผนการฟื้นฟูที่ระบุวันที่และเวลาชัดเจนก่อน แล้วปฏิบัติตามทีละข้อนั้น值得肯定

กองทุนคุ้มครองเตรียมไว้ล่วงหน้าสี่ปี พอเกิดเรื่องจริงก็นำออกมาใช้ ฝ่ายบริหารเผชิญหน้ากับคอมมิวนิตี้อย่างต่อเนื่อง ข้อมูลที่แน่ชัดก็เปิดเผยทันเวลา ข้อมูลที่ไม่แน่ชัดก็ไม่รีบสรุป แผนการฟื้นฟูให้เวลาที่ชัดเจน แล้วปฏิบัติตามเวลา

การดำเนินการที่เฉียบขาดเป็นชุดนี้ทำให้หลายคนมอง Bitget ในแง่บวกมากขึ้น

3. จุดเปลี่ยนของเหตุการณ์ปรากฏขึ้น เงินทุนไหลเข้าสุทธิอีกครั้ง

หลังวันที่ 29 กันยายนที่ ETH กลับมาให้ถอน บนเชนก็เกิดการเปลี่ยนแปลงที่值得关注อย่างรวดเร็ว

ตามการติดตามของนักวิเคราะห์บนเชน Ai Yi hot wallet ที่ Bitget เตรียมไว้รองรับการถอน ETH ภายในครึ่งชั่วโมงหลังเปิดถอน ยอดคงเหลือกลับสู่ระดับสูงกว่า 30,000 ETH สูงกว่าค่าเริ่มต้น

ข้อมูลที่ Bitget เปิดเผยในภายหลังแสดงว่า ในชั่วโมงแรกหลังกลับมาให้ถอน ETH ไหลเข้าประมาณ 9,674 เหรียญ ไหลออกประมาณ 9,023 เหรียญ ไหลเข้าสุทธิประมาณ 651 ETH ข้อมูลวันที่ 30 กันยายนแสดงว่า ภายใน 24 ชั่วโมง มูลค่าเงินทุนไหลเข้าแพลตฟอร์มสูงถึง 231 ล้านดอลลาร์ ใกล้เคียงกับมูลค่าเงินทุนไหลเข้าเฉลี่ยต่อวันในเดือนสิงหาคมปีนี้ที่ 245 ล้านดอลลาร์ ไม่เกิดการไหลออกทางเดียวที่ตลาดเคยกังวล กลับเห็นสัญญาณความเชื่อมั่นของตลาดฟื้นตัว

ในขณะเดียวกัน เพื่อตอบแทนความไว้วางใจของผู้ใช้ Bitget ก็เริ่มเปิดตัวกิจกรรมจูงใจหลายรายการ

ETH PoolX มีเงินรางวัล 500,000 USDT ผู้ใช้เพียงล็อก ETH ก็เข้าร่วมแบ่งปันได้ ในช่วงแรกของการจัด 활동 หน้าเพจประเมิน APR สูงถึงประมาณ 37.11% จากนั้นลดลงแบบไดนามิกเมื่อเงินทุนที่เข้าร่วมเพิ่มขึ้น

BTC PoolX เปิดตามมา มีเงินรางวัล 100,000 BGB และให้โบนัสเพิ่มตามการถือครอง BTC 15 วันก่อนหน้าของผู้ใช้

ด้าน stablecoin Bitget เปิดตัวกิจกรรมการเงินแบบ flexible ของ USDT และ USDGO ในช่วงเดียวกัน รองรับฝากถอนได้ตลอดเวลา APR แบบจำกัด