Der Bitget-Hacker hat gestohlene USDC nach einem Sicherheitsverstoß, den die Börse auf etwa 351,6 Millionen US-Dollar schätzte, in ETH umgewandelt, was erneut Fragen aufwirft, wann Circle Gelder im Zusammenhang mit einem Angriff einfriert.
Zusammenfassung
- Die Sicherheitsforscherin Taylor Monahan meldete USDC-Transfers und -Swaps im Zusammenhang mit dem Bitget-Angreifer.
- Bitget schätzte den Diebstahl auf 351,6 Millionen US-Dollar und setzte Abhebungen vorübergehend aus.
- Circle gibt an, USDC einzufrieren, wenn es rechtlich dazu verpflichtet ist, während Forscher in der Vergangenheit die Reaktionszeit bei Hacks kritisiert haben.
- Eine US-Klage wegen des Drift-Exploits hat ähnliche Fragen zu gestohlenen USDC aufgeworfen, die über verschiedene Chains bewegt werden.
Die Sicherheitsforscherin Taylor Monahan meldete die Aktivität des Angreifers auf X und wies darauf hin, dass USDC durch Wallets floss, während gestohlene Vermögenswerte in ETH umgewandelt wurden. Monahan stellte infrage, warum die Gelder weiterhin beweglich blieben, obwohl Circle in der Lage ist, Transfers von bestimmten USDC-Adressen zu blockieren.
Den Transaktionen zufolge verwendete der Angreifer während des Umwandlungsprozesses USDC, so Monahans Darstellung. Ihre Kritik betrifft Circles Reaktion auf identifizierbare Gelder, obwohl der öffentliche Bericht über die Transfers nicht belegt, ob Circle eine rechtliche Anordnung bezüglich dieser Adressen erhalten hat oder wann es von deren Identitäten erfuhr.
Bitget-Angreifer bewegt USDC nach Sicherheitsverstoß über 351,6 Millionen US-Dollar
Bitget gab an, dass seine Sicherheitssysteme am 24. September um 18:31 UTC unbefugte Transfers von einigen Hot Wallets entdeckt hätten. Die Börse aktivierte eine Notfallreaktion, setzte Kundenabhebungen aus und schätzte die betroffenen Vermögenswerte auf etwa 351,6 Millionen US-Dollar. Einzahlungen und Handel blieben verfügbar, während Bitget angab, dass die Kontostände korrekt und die Cold Wallets sicher seien.
In seinem ersten Bericht über den Sicherheitsverstoß berichtete crypto.news über die Darstellung der vorläufigen Untersuchung durch Bitget-CEO Gracy Chen. Chen sagte, die Ermittler hätten ein Leck der Wallet-Privatschlüssel ausgeschlossen und glaubten, dass die Angreifer in die Systeme der Börse eingedrungen seien, um Gelder direkt zu bewegen, ohne Kundenauszahlungsanträge zu stellen. Bitget untersuchte noch den Eintrittspunkt und hatte noch keinen abschließenden Bericht über den Angriff veröffentlicht.
Der Diebstahl betraf mehrere Vermögenswerte, sodass die Ermittler mehr als eine Route für die gestohlenen Gelder verfolgen mussten. Der On-Chain-Tracker Lookonchain schätzte das gestohlene Portfolio unter Verwendung der Preise zum Zeitpunkt seines Updates auf etwa 356,8 Millionen US-Dollar. Seine Aufschlüsselung umfasste 102,93 Millionen XRP im Wert von etwa 157,48 Millionen US-Dollar, 31.890 ETH im Wert von etwa 85,75 Millionen US-Dollar und 21,05 Millionen USDC. Lookonchains sich ändernde On-Chain-Schätzung und Bitgets interne Verlustzahl verwenden unterschiedliche Messgrößen.
Bitget gab an, Adressen im Zusammenhang mit den ungewöhnlichen Transfers gemeldet und Strafverfolgungsbehörden sowie On-Chain-Sicherheitsfirmen benachrichtigt zu haben. Chen sagte, Maßnahmen zur Verhinderung weiterer Abflüsse seien abgeschlossen worden, während Ingenieure an Reparaturen und der Wiederherstellung der Abhebungsdienste arbeiteten.
Monahans Sorge konzentriert sich auf den Teil der gestohlenen Vermögenswerte, der in USDC gehalten wird. Circles USDC-Bedingungen besagen, dass der Emittent sich das Recht vorbehält, Transfers von und zu bestimmten On-Chain-Adressen im Rahmen seiner Blocklist-Richtlinie zu blockieren. Sobald ein Angreifer jedoch USDC gegen ETH tauscht, kann eine Sperre einer USDC-Adresse nicht die in diesem Handel erhaltenen ETH einfrieren.
Circles Einfrierpolitik löst Streit über Reaktionszeit aus
Circle hat einen engeren Standard für die Nutzung seiner technischen Kontrollen beschrieben als den, den seine Kritiker während eines laufenden Exploits fordern. In einer im April Erklärung zu rechtmäßiger Intervention, die nach dem Hack des Drift Protocol veröffentlicht wurde, erklärte das Unternehmen, dass es seine Einfrierfähigkeit ausübt, wenn es von einer zuständigen Behörde rechtlich dazu verpflichtet wird. Circle argumentierte, dass es die Eigentumsrechte legitimer Inhaber gefährden könnte, wenn ein Emittent selbst entscheiden dürfte, wessen Vermögenswerte er blockiert.
In den USDC-Bedingungen heißt es außerdem, dass Circle möglicherweise verpflichtet ist, Token einzufrieren, nachdem es eine rechtliche Anordnung einer zuständigen Regierungsbehörde erhalten hat. Die Bedingungen behalten sich separat das Recht vor, bestimmte Adressen zu blockieren, von denen Circle annimmt, dass sie mit illegalen Aktivitäten oder einem Verstoß gegen seine Bedingungen in Verbindung stehen könnten. Sie besagen, dass eine On-Chain-USDC-Transaktion nicht rückgängig gemacht oder zurückgerufen werden kann, sobald sie initiiert wurde.
Diese Bestimmungen sind für US-Inhaber wichtig, weil Circle einen dollar-gestützten Stablecoin ausgibt, der auf Börsen und dezentralen Anwendungen verwendet wird, während seine Einfrierentscheidungen den Zugang zu Token an einer bestimmten Adresse beeinflussen können. Die erklärte Politik von Circle stellt rechtmäßige Verfahren in den Mittelpunkt dieser Entscheidung. Monahans Kritik konzentriert sich auf die Zeit, die zur Intervention bleibt, bevor ein mutmaßlicher Angreifer das USDC fertig verschoben oder getauscht hat.
Circle erklärte in seiner April-Erklärung, dass Instrumente für eine schnellere Intervention existieren, aber rechtliche Rahmen für ein schnelleres, koordiniertes Handeln unter Schutz der Rechte der Nutzer noch unvollständig bleiben. Das Unternehmen forderte klarere Regeln und Sicherheitsmaßnahmen über Protokolle, Wallets, Börsen und Stablecoin-Emittenten hinweg.
ZachXBT dokumentierte 15 frühere USDC-Fälle
Der On-Chain-Ermittler ZachXBT behauptete im April, dass Circle in 15 Fällen mit mehr als 420 Millionen US-Dollar mutmaßlich illegaler USDC-Ströme seit 2022 nur minimale Maßnahmen ergriffen oder nicht schnell genug gehandelt habe. Seine Liste umfasste Hacks und Betrugsfälle, in denen seiner Aussage nach gestohlene Gelder trotz Zeit zur Identifizierung der Aktivität weiterhin beweglich blieben.
Wie zuvor von crypto.news berichtet, nannte ZachXBT etwa 9 Millionen US-Dollar in USDC, die mit dem GMX-Hack vom Juli 2025 in Verbindung stehen, und sagte, dass Wallets, die am Cetus-Hack beteiligt waren, erst blockiert wurden, nachdem das gestohlene USDC in ETH umgewandelt worden war. Er behauptete außerdem, dass Angreifer im Drift-Fall etwa 232 Millionen US-Dollar über etwa sechs Stunden und mehr als 100 Transaktionen bewegten, bevor sie die Gelder umwandelten.
Die Drift-Transfers wurden Gegenstand eines US-Zivilverfahrens. Im April verklagte ein Anspruchsteller Circle wegen der Transfers nach dem Exploit und behauptete, dass der Emittent es versäumt habe, etwa 230 Millionen US-Dollar gestohlenes USDC zu stoppen, das über sein Cross-Chain Transfer Protocol geleitet wurde. Die bei einem Bundesbezirksgericht in Massachusetts eingereichte Klage argumentiert, dass eine frühere Intervention die Verluste hätte reduzieren können. Dies sind die Behauptungen des Anspruchstellers und nicht eine gerichtliche Feststellung gegen Circle.
In diesem Fall verwies der Anspruchsteller auch auf Circles Einfrierung von 16 mit USDC verbundenen Wallets, die mit einer separaten versiegelten US-Zivilsache in Verbindung stehen, als Beweis dafür, dass der Emittent Adressen blockieren könnte. Circles öffentliche Erklärung vom April, die nach dem Drift-Angriff abgegeben wurde, besagte, dass Einfrierungen eine rechtmäßige Befugnis erfordern, und forderte rechtliche Strukturen, die schnellere Maßnahmen bei künftigen Vorfällen ermöglichen würden.
