Ben Zhou ซีอีโอของ Bybit ออกมาเปิดเผยผลการสืบสวนเกี่ยวกับเหตุการณ์แฮ็กที่สร้างความเสียหายมหาศาลให้กับแพลตฟอร์ม ซึ่งจากการตรวจสอบเบื้องต้น สองบริษัทด้านความปลอดภัยทางไซเบอร์อย่าง Sygnia และ Verichains พบว่า ต้นตอของการโจมตีในครั้งนี้มาจากโครงสร้างพื้นฐานของ Safe{Wallet} แพลตฟอร์มกระเป๋าเงิน multisig ที่เกี่ยวข้องกับธุรกรรมของ Bybit
การสืบสวนพบว่าการโจมตีครั้งนี้มุ่งเป้าไปที่ Bybit โดยเฉพาะผ่านการฝังโค้ด JavaScript ที่เป็นอันตรายลงใน app.safe.global ซึ่งเป็นแพลตฟอร์มที่ผู้ลงนามธุรกรรมของ Bybit เข้าไปใช้งาน
โค้ดตัวดังกล่าว ถูกออกแบบมาให้ทำงานตอนที่เงื่อนไขตรงตามที่กำหนดไว้เท่านั้นทำให้มันสามารถหลีกเลี่ยงการตรวจพบจากผู้ใช้ทั่วไป และในขณะเดียวกันก็สามารถโจมตีเป้าหมายที่มีเหรียญมูลค่ามหาศาลได้อย่างแนบเนียน กลยุทธ์นี้ช่วยให้แฮ็กเกอร์สามารถดำเนินแผนการได้โดยไม่ถูกตรวจพบเป็นเวลานาน ตามที่ Verichains ระบุไว้
Sygnia ยังเปิดเผยข้อมูลเพิ่มเติมว่า หลังจากที่ธุรกรรมอันตรายถูกดำเนินการและเผยแพร่ มีการอัปโหลดเวอร์ชันใหม่ของไฟล์ JavaScript ไปยัง AWS S3 ของ Safe{Wallet} ภายในเวลาเพียงสองนาที โดยเวอร์ชันใหม่ที่ถูกอัปโหลดนี้ได้ลบโค้ดอันตรายออกไปแล้ว ซึ่งอาจเป็นความพยายามในการปกปิดร่องรอยของแฮ็กเกอร์
นอกจากนี้ จากการตรวจสอบเชิงลึกในเครื่องของผู้ลงนาม Bybit และการตรวจสอบข้อมูลที่ถูกแคชไว้ใน Wayback Archive มีความเป็นไปได้สูงว่า บัญชีหรือ API Key ของ AWS S3 หรือ CloudFront ของ Safe.Global อาจถูกแฮ็กหรือรั่วไหล และถูกนำไปใช้เป็นช่องทางในการโจมตี โดยมีหลักฐานชี้ให้เห็นว่า โค้ด JavaScript อันตรายที่ถูกใช้ในการโจมตีนี้ ถูกดัดแปลงก่อนเกิดเหตุการณ์โจมตีในวันที่ 21 กุมภาพันธ์ 2025 เพียงสองวันเท่านั้น
แม้ว่าจะเกิดเหตุการณ์ดังกล่าวขึ้น แต่การตรวจสอบภายในของ Bybit ไม่พบหลักฐานว่าระบบหลักของบริษัทถูกโจมตีโดยตรง อย่างไรก็ตาม ข้อสรุปจาก Safe Ecosystem Foundation เผยว่า การโจมตีครั้งนี้เริ่มต้นจากการที่แฮ็กเกอร์สามารถเข้าถึงเครื่องของนักพัฒนา Safe{Wallet} และใช้เป็นช่องทางในการแทรกซึมเข้าไปยังบัญชีที่ Bybit ใช้งานอยู่
โดย Safe Ecosystem Foundation ระบุว่า “การตรวจสอบด้านนิติเวชดิจิทัลเกี่ยวกับการโจมตีเป้าหมายของกลุ่ม Lazarus ต่อ Bybit พบว่าการโจมตีครั้งนี้เกิดขึ้นผ่านเครื่องของนักพัฒนา Safe{Wallet} ที่ถูกแฮ็ก ส่งผลให้เกิดข้อเสนอธุรกรรมปลอมที่ซ่อนโค้ดอันตรายเอาไว้”
เหตุการณ์นี้สะท้อนให้เห็นถึงความเสี่ยงของโครงสร้างพื้นฐานที่เกี่ยวข้องกับกระเป๋าเงิน Multisig และการใช้งานแพลตฟอร์มของบุคคลที่สาม ความเสียหายที่เกิดขึ้นทำให้ Bybit และแพลตฟอร์มอื่น ๆ ต้องเร่งพิจารณามาตรการป้องกันที่เข้มงวดขึ้นเพื่อป้องกันเหตุการณ์ลักษณะนี้ในอนาคต
ที่มา:bleepingcomputer