Cryptocurrency-exchange Bitget heeft bevestigd dat de enorme diefstal van $387,5 miljoen van vorige week is mogelijk gemaakt door een derde partij zero-day in securityproducten van een leverancier. Volgens Bitget en onderzoekspartijen zoals SlowMist werd die kwetsbaarheid gebruikt om interne toegang te verkrijgen en vervolgens ongeautoriseerde opdrachten voor opnames af te dwingen.
Het incident zette Bitget tijdelijk in de rem: de exchange stopte met opnames en onderzocht de aanval tot in details. Tegelijk werd er volgens rapportages ook crypto ter waarde van ongeveer $632.700 bevroren door partijen zoals Circle, Tether en NEAR Intents.
Wat Bitget precies bevestigt over de derde partij zero-day
In een update gaf Bitget aan dat de aanvallers tijdens hun onderzoeksmomenten toegang konden krijgen via kwaadaardige activiteit rondom third-party securityproducten. Daarbij werd een zero-day genoemd die niet in het eigen systeem zat, maar in de beveiligingslaag van een externe partij.
Bitget stelt dat de onderzoekers een aangepaste tool hebben teruggevonden die door de aanvallers werd gebruikt om ongeautoriseerde withdrawals te starten. Die tool zou zijn toegespitst op de logica van Bitgets wallet-systeem, waardoor geld kon worden overgeboekt terwijl bestaande risicobeheersing werd omzeild.
Van ongeautoriseerde opdrachten naar abnormal transfers
Volgens Bitget verkregen aanvallers hoge interne credentials. Met die gegevens konden ze frauduleuze withdrawal-commando’s in het wallet-systeem plaatsen. Vervolgens zouden “abnormal transfers” zijn uitgevoerd die de geldende controles wisten te omzeilen.
Tijdlijn volgens SlowMist: eerdere compromittatie vóór de diefstal
SlowMist publiceerde een voortgangsrapport met een onderbouwde tijdlijn. Daaruit komt naar voren dat de vroegste sporen die aan de hack gekoppeld kunnen worden, teruggaan tot 31 augustus 2026.
Het rapport beschrijft dat één van de “Product A”-omgevingen werd geraakt door een zero-day. De aanval begon niet pas toen het geld werd weggeboekt, maar al eerder: aanvallers zouden een verborgen script hebben gedraaid onder het proces van de service.
- Het script zou zijn gebruikt om een omgevingvariabele met een databasewachtwoord uit te lezen.
- Daarna zouden aanvallers verbinding hebben gemaakt met de database.
- Vergelijkbare verborgen-scriptactiviteiten werden ook op andere knooppunten gezien (op 23 en 25 september).
De conclusie: de serviceomgevingen waren al gecompromitteerd voordat de assets uiteindelijk werden overgeboekt.
Product B en de managementomgeving: van identiteit tot command-injectie
Verder beschrijft SlowMist dat de aanvallers op 25 september 2026 ook een ander product (“Product B”) benaderden via de managementplatform-kant. Daarbij maakten ze gebruik van de identiteit van een interne medewerker.
Vervolgens zouden ze herhaaldelijk pogingen hebben gedaan om systeemcommando’s te injecteren in parameters voor taken binnen het product. Dat zou drie opeenvolgende pogingen zijn geweest, gericht op het schrijven van bestanden.
Daarna werd code via een web execution endpoint aangeleverd. Het doel lag volgens het rapport in het aanpassen van serverconfiguraties, het schrijven van een communicatie-relay bestand en het in batches uploaden en samenstellen van kwaadaardige programmadelen.
Een tool op maat voor wallet-withdrawal logica
Naast de exploitketen noemt SlowMist een belangrijk terugkerend element: de aanvallers zouden ook een specifiek op maat gemaakte tool hebben ingezet om activa te “tappen”.
Het rapport stelt dat het programma is teruggevonden onder de verwijderde bestanden die SlowMist kon herstellen. Die tool was zeer toegespitst op de withdrawal-logica van het wallet-systeem en begon rond 01:49 a.m. op 25 september 2026 met het uitvoeren van de diefstal.
Met andere woorden: de aanval was niet alleen gericht op het vinden van een technische zwakte, maar ook op het toepassen van een gereedschap dat na toegang direct bruikbaar was om geld weg te sluizen.
Impact: 11 blockchains en meerdere getroffen tokens
Het incident raakte volgens Bitget 11 blockchains. Daarbij worden onder meer genoemd:
- Ethereum
- XRP Ledger
- Zcash
- TRON
- Arbitrum
- Optimism
- Base
- BNB Smart Chain
- Avalanche
- Algorand
- Celestia
Bitget noemde daarnaast tokens en assets die tot nu toe als getroffen zijn geïdentificeerd, waaronder: XRP, ETH, USDT, ZEC, ATOM, USDC, USD0, XAUt, BNB, AVAX, TRX, ALGO en TIA.
Onderzoek door Mandiant: laterale beweging via security appliances
Mandiant onderzocht het incident en kwam volgens berichtgeving tot een keten waarin aanvallers eerst toegang kregen tot third-party security appliances. Vervolgens werd die toegang gebruikt om lateraal door te bewegen naar de walletomgeving van Bitget.
De beschrijving luidt dat er op security appliance B een web shell is geplaatst. Vanuit die positie werd een Command-and-Control (C2)-verbinding opgezet. Met die persistente toegang konden aanvallers daarna naar een production wallet job server bewegen en daar malicious packages inzetten.
Het kernpatroon is daarmee duidelijk: compromitteren van beveiligingsapparatuur, uitbreiden van controle, en vervolgens gerichte deployment binnen de systemen waar walletjobs en withdrawals draaien.
Signalering van daders en overlap met eerdere hacks
Bitget geeft aan dat IP-gedrag en on-chain analyse wijzen op Noord-Koreaanse dreigingsactoren. Daarnaast zouden partijen zoals Elliptic en TRM Labs wallet-overlaps hebben gevonden die gelinkt worden aan het witwassen van opbrengsten uit eerdere incidenten.
Dat betekent niet alleen dat de exploitketen technisch complex was, maar ook dat de financiële sporen passen binnen een breder patroon van hergebruik van infrastructuur en routes.
Waarom dit incident verder gaat dan één exchange
Deze casus raakt veel organisaties die vertrouwen op securityproducten van derden. Zelfs wanneer een eigen omgeving goed beheerd is, kan een fout in een externe laag alsnog leiden tot:
- het verkrijgen van interne credentials via misbruik van management of service-omgevingen;
- laterale beweging naar kernsystemen zoals jobs, uitbetalingen en integraties;
- het omzeilen van risicocontroles met manipulatie van withdrawal-logica.
Daarom is het verstandig om niet alleen updates en patches te volgen, maar ook te kijken naar de keten eromheen: welke externe componenten draaien waar, hoe worden ze beheerd, en welke logging is beschikbaar zodra er iets verdachts gebeurt.
Als je wilt vergelijken met andere aanvalstypen rond identiteiten en wallet- of platformlogica, kan dit ook aansluiten op artikelen over phishing- en toegangsmisbruik, zoals phishing met focus op Microsoft 365 sessies en RMM-tools.
Praktische lessen voor organisaties met third-party security
Hoewel dit verhaal over Bitget gaat, zijn de lessen breed toepasbaar. Denk aan maatregelen die helpen om de impact van een derde partij zero-day te beperken, zelfs als die voorlopig niet volledig te voorzien is.
1) Beperk privileges en segmentatie in productie
Zodra een aanvaller toegang krijgt tot een component, bepaalt de interne “routestructuur” hoe ver die kan komen. Segmentatie en het beperken van privilege verminderen de kans op laterale beweging.
2) Controleer op ongewoon gedrag rond opnames en walletjobs
Als aanvallers “abnormal transfers” kunnen uitvoeren door logica te misbruiken, dan is monitoring van anomalieën essentieel. Denk aan gedrag rond withdrawal-schrijfpaden, jobservers en command-injection-achtige patronen.
3) Werk leveranciersinformatie en fixes actief door
Bitget meldde dat het de betrokken functionaliteit uitschakelde totdat er een fix is. Dat soort snelle containment is cruciaal. Tegelijk helpt een proces waarin je leveranciersupdates snel doorvertaalt naar technische actie.
Afsluiting
Bitget bevestigt dat de diefstal van $387,5 miljoen mede mogelijk werd door een derde partij zero-day in securityproducten, met een aanvalsketen die al weken eerder begon. Onderzoeksrapporten wijzen op verborgen scripts, command-injectie vanuit managementomgevingen en een tool op maat voor wallet-withdrawal logica. Voor de sector is dit een duidelijke waarschuwing: beveiliging is zo sterk als de zwakste schakel, ook wanneer die schakel bij een externe leverancier ligt.
Wil je meer achtergrond over hoe incidenten rond software- en platformketens risico’s vergroten, dan sluit ook de bredere context van supply chain en security-architectuur aan op vergelijkbare analyses op de site, zoals artikelen over risico’s en toezicht bij autonome/agentische systemen—met als overkoepelende les: governance en controlemechanismen blijven nodig, ook bij complexe ketens.
Bron: https://thehackernews.com/2026/10/bitget-confirms-third-party-zero-day.html
