General Bytes cho biết: Kẻ tấn công có thể đã tải lên ứng dụng Java từ xa thông qua giao diện dịch vụ chính bằng các thiết bị đầu cuối và chạy bằng quyền hạn của người dùng "batm".

Kẻ tấn công đã quét không gian địa chỉ IP lưu trữ đám mây Digital Ocean và xác định các dịch vụ Crypto Application Server (CAS) đang chạy trên cổng 7741, bao gồm dịch vụ General Bytes Cloud và các nhà điều hành máy ATM GB khác đang chạy máy chủ của mình trên Digital Ocean.

General Bytes cho rằng máy chủ mà ứng dụng Java độc hại tải lên được cấu hình mặc định tự khởi động các ứng dụng có mặt trong thư mục deployment ("/ batm / app / admin / standalone / deployments /").

Khi đó, cho phép kẻ tấn công truy cập vào cơ sở dữ liệu, đọc và giải mã các khóa API được sử dụng để truy cập quỹ trong các ví nóng và sàn giao dịch, gửi tiền từ các ví, tải xuống tên người dùng, băm mật khẩu và tắt xác thực hai yếu tố (2FA) thậm chí truy cập các nhật ký sự kiện của terminal.

Ngoài việc kêu gọi khách hàng bảo vệ các máy chủ ứng dụng tiền điện tử (CAS) của mình bằng tường lửa và VPN, công ty cũng khuyến cáo người dùng nên xoay vòng tất cả các mật khẩu và khóa API trên các sàn giao dịch và ví nóng. 

General Bytes không tiết lộ chính xác số tiền bị tin tặc đánh cắp, nhưng một phân tích về ví tiền điện tử được sử dụng trong cuộc tấn công cho thấy ví này đã nhận 56,283 BTC (1.5 triệu USD), 21,823 ETH (36.500 USD) và 1.219,183 LTC (96.500 USD).

Đây là vụ tấn công thứ hai nhắm vào General Bytes trong vòng chưa đầy một năm, lần gần nhất cũng là do một lỗ hổng zero-day khác trong các máy chủ ATM bị khai thác để đánh cắp tiền điện tử từ khách hàng từ tháng 8/2022.