Các nhà nghiên cứu tại công ty an ninh mạng ESET (trụ sở chính tại Slovakia) đã phát hiện ra rằng, đoạn mã JavaScript được sử dụng bởi nền tảng phân tích của StatCounter đã bị tin tặc sửa đổi, do đó khi nhúng lên các trang của Gate.io sẽ cho phép tin tặc rút tiền điện tử trái phép.

Để làm được việc này, tin tặc đã xâm nhập vào trang web dịch vụ phân tích StatCounter, được sử dụng bởi hơn hai triệu trang web khác nhau, bao gồm các trang web liên quan đến chính phủ, nhằm mục đích đánh cắp Bitcoin từ khách hàng trên một sàn giao dịch tiền điện tử.

Tin tặc đã đưa mã độc vào statcounter.com/counter/counter.js. Đây là mã JavaScript mà 2 triệu khách hàng của StatCounter đã nhúng vào trang web của họ để thống kê lưu lượng truy cập. Việc làm này khiến hàng triệu trang web có thể đã bị nhiễm mã độc, nhưng có lẽ mục tiêu chính của tin tặc nhắm tới là là Gate.io. Tại đây, mã độc trong StatCounter thực hiện kiểm tra đơn lẻ cho một đường dẫn cụ thể là: myaccount/withdraw/BTC.

Theo Matthieu Faou, nhà nghiên cứu mã độc của ESET, trong số các sàn giao dịch đang hoạt động tại thời điểm đó, duy nhất chỉ có Gate.io có trang hợp lệ với đường dẫn URI này. Do đó, đây có thể là mục tiêu chính của tin tặc trong cuộc tấn công. Dù nhà nghiên cứu không biết số lượng Bitcoin bị đánh cắp trong cuộc tấn công, nhưng vụ việc này cho thấy những gì tin tặc đã thực hiện chỉ để đạt được mục đích là tấn công một website cụ thể nào đó, đặc biệt đối với những website giao dịch tiền điện tử.

Khi đường dẫn này được truy cập, sẽ tìm tới một tập mã lệnh thứ hai trên miền riêng và thực thi. Tập mã lệnh này sẽ chuyển hướng bất kỳ giao dịch Bitcoin nào tới một trong số các địa chỉ ví điện tử được kiểm soát bởi tin tặc. Vì tin tặc sử dụng nhiều ví điện tử để lấy số tiền chiếm đoạt được, nên các nhà nghiên cứu không thể biết chính xác số tiền bị đánh cắp, tuy nhiên họ cho rằng đây là số tiền lớn.

ESET cho biết, họ đã thông báo cho cả hai công ty là StatCounter và Gate.io về vấn đề này. Gate.io chưa có bất kỳ phản hồi nào, trong khi StatCounter cho biết bộ nhớ cache trên web của họ đã bị tấn công để nhúng mã JavaScript độc hại.