On-Chain-Ermittler haben weitere mutmaßlich gestohlene Kryptowährungen identifiziert, die in Zcash (ZEC) fließen, wobei die Gelder Berichten zufolge mit drei separaten Sicherheitsvorfällen bei Bitget, Cryptobills Ledger und Triple-A in Verbindung stehen.
Zusammenfassung
- Der On-Chain-Ermittler Specter verknüpfte mutmaßlich gestohlene Gelder aus drei Sicherheitsvorfällen kürzlich mit Zcash-Transaktionen.
- ZachXBT verfolgte nach dem Bitget-Hack im September etwa 2.700 ZEC in Zcashs abgeschirmten Ironwood-Pool.
- Bitget bestätigte, dass im Rahmen seiner Untersuchung des Sicherheitsvorfalls vom 24. September etwa 387,5 Millionen US-Dollar auf von Angreifern kontrollierte Adressen gelangten.
- Specter identifizierte Gelder von Cryptobills Ledger und Triple-A, die in Zcash gelangten, ohne vollständige transaktionsbezogene Beweise öffentlich zu veröffentlichen.
- Zcash aktivierte Ironwood im Juli 2026 und schuf damit einen neuen abgeschirmten Pool nach einer Orchard-Schwachstelle.
In einem Beitrag vom 17. Oktober auf X berichtete der Blockchain-Analyst Specter, dass Gelder im Zusammenhang mit dem Cryptobills-Ledger-Vorfall und dem 12-Millionen-Dollar-Exploit bei Triple-A in Zcash gelangt seien, nachdem der Ermittler ZachXBT zuvor Erkenntnisse über aus Bitget gestohlene Vermögenswerte veröffentlicht hatte.
Die jüngsten Vorwürfe betreffen die Verschiebung gestohlener Kryptowährungen in ein auf Privatsphäre ausgerichtetes Netzwerk, das es Nutzern ermöglicht, bestimmte Transaktionsdetails zu verbergen. Specter legte jedoch öffentlich weder eine vollständige Transaktionsspur vor noch stellte er fest, wie viel Geld aus den beiden weiteren Vorfällen in ZEC gelangt war.
Der Bericht folgt auf den Sicherheitsvorfall bei Bitget im September, den die Börse nach Prüfung von Transaktionen über mehrere Blockchains hinweg auf etwa 387,5 Millionen US-Dollar bezifferte. Die von Bitget bestätigte Verlustsumme umfasst den gesamten Vorfall und entspricht nicht dem Betrag, der Berichten zufolge in Zcash verschoben wurde.
Zcash zieht Gelder an, die mit drei Krypto-Sicherheitsvorfällen in Verbindung stehen
Specters Erkenntnisse identifizierten Aktivitäten mit Geldern, die mutmaßlich mit Bitget, Cryptobills Ledger und Triple-A in Verbindung stehen. Der Analyst beschrieb mehrere mutmaßliche Angreifer, die Kryptowährungen in ZEC transferierten, nachdem ZachXBT die Nutzung der Privatsphäre-Funktionen von Zcash im Bitget-Fall offengelegt hatte.
Der Account vom 17. Oktober identifizierte den Sicherheitsvorfall bei Cryptobills Ledger als eine Quelle der mutmaßlichen Transfers. Separat erwähnte er Gelder aus dem Triple-A-Exploit, bei dem Berichten zufolge 12 Millionen US-Dollar in Kryptowährung gestohlen wurden.
Weder der Wert der Cryptobills-Ledger-Transfers noch der Triple-A zugeschriebene Betrag wurden in den öffentlich gemachten Informationen festgestellt. Die Untersuchung legte nicht offen, ob die mutmaßlichen Akteure dieselben Wallet-Adressen verwendeten oder ihre Bewegungen koordinierten.
Laut Specters Darstellung waren an der Aktivität mehrere Bedrohungsakteure beteiligt. Der Forscher behauptete nicht, dass ein einzelner Angreifer für alle drei Vorfälle verantwortlich war.
Zcash unterstützt Transaktionen, die Informationen über Absender, Empfänger und übertragene Beträge verbergen können. Seine Privatsphäre-Technologie kann verhindern, dass externe Beobachter Transaktionsdetails sehen, sobald Vermögenswerte in einen abgeschirmten Pool gelangen.
Die Vorwürfe des Forschers belegen jedoch nicht, dass jede gemeldete Überweisung erfolgreich verschleiert wurde oder dass die Gelder ihr endgültiges Ziel erreicht haben.
Ermittler können bestimmte Einzahlungen in abgeschirmte Pools identifizieren, aber die verfügbaren öffentlichen Aufzeichnungen offenbaren nicht unbedingt, wohin die Gelder danach fließen.
ZachXBT verfolgt Bitget-Diebesgut bis in Ironwood
Die Untersuchung baut auf Erkenntnissen auf, die ZachXBT am 30. September über aus Bitget gestohlene Kryptowährungen mitteilte.
Laut dem Ermittler transferierten Wallets, die mutmaßlich mit den Angreifern in Verbindung stehen, etwa 2.700 ZEC in Zcashs abgeschirmten Ironwood-Pool. Er bezifferte die Transfers damals auf rund 3,8 Millionen US-Dollar.
Seine Erkenntnisse folgten auf den Diebstahl vom 24. September, der die Hot-Wallet-Infrastruktur von Bitget betraf. ZachXBT identifizierte separat etwa 18.900 ZEC, zum berichteten Bewertungskurs 28,3 Millionen US-Dollar wert, unter den mit dem Vorfall in Verbindung stehenden Vermögenswerten.
Der Ermittler lieferte Transaktionsreferenzen im Zusammenhang mit Einzahlungen in den abgeschirmten Pool. Diese Referenzen stützen die Rückverfolgung von Geldern bis zu den identifizierten Einzahlungstransaktionen, belegen aber nicht deren Bestimmungsorte nach der Abschirmung.
Ironwood ist ein neuerer abgeschirmter Zcash-Pool, der durch das Upgrade des Netzwerks vom 28. Juli 2026 eingeführt wurde. Er nutzt Technologie, die vom früheren Orchard-System abgeleitet ist, während Transaktionen und Guthaben getrennt bilanziert werden.
Das Zcash Ironwood-Netzwerk-Upgrade folgte auf die Entdeckung einer Schwachstelle in Orchard, die es ermöglicht hätte, gefälschte Coins unentdeckt in Umlauf zu bringen.
Die Entwickler führten Schutzmaßnahmen ein, die Übertragungen aus dem älteren Pool einschränken, und schufen einen Ersatzpool mit aktualisierten kryptografischen Schutzmechanismen. Das Upgrade wurde entwickelt, um die Umlaufmenge von Zcash unabhängig überprüfbar zu machen.
Ironwood wurde nicht als Mechanismus zur Geldwäschebekämpfung eingeführt. Sein Hauptzweck bestand darin, das Orchard-Sicherheitsproblem zu beheben und gleichzeitig die Funktionalität abgeschirmter Transaktionen beizubehalten.
Die Datenschutzfunktionen des Protokolls bleiben für legitime Nutzer verfügbar und können von böswilligen Akteuren genutzt werden. Die Vorwürfe vom 17. Oktober betreffen die mutmaßliche Nutzung dieser Funktionen durch Angreifer, nicht eine neue Schwachstelle im Ironwood-Protokoll.
Bitget bestätigt Diebstahl von 387,5 Millionen US-Dollar bei Sicherheitsvorfall im September
Der Sicherheitsvorfall bei Bitget am 24. September umfasste unbefugte Übertragungen aus Teilen der Hot- und Warm-Wallet-Infrastruktur.
Die Börse schätzte die betroffenen Vermögenswerte zunächst auf 351,6 Millionen US-Dollar. Ihr Sicherheitsupdate vom 25. September erhöhte die Zahl nach zusätzlicher Blockchain-Verfolgung und Transaktionsklassifizierung auf etwa 387,5 Millionen US-Dollar.
Bitget erklärte, dass die überarbeitete Schätzung betroffene Vermögenswerte auf Zcash und TRON berücksichtigte, die in der ursprünglichen Berechnung nicht enthalten waren. Die Differenz von 35,9 Millionen US-Dollar ergab sich aus einer vollständigeren Abrechnung des Vorfalls, nicht aus einer weiteren bestätigten Diebstahlswelle.
Die Börse identifizierte betroffene Vermögenswerte in Ethereum-kompatiblen Netzwerken, im XRP Ledger, auf Zcash und TRON. Ihre Liste umfasste XRP, ETH, USDT, ZEC, USDC, BNB, AVAX und mehrere andere Token.
Unabhängige Untersuchungen von SlowMist und dem zu Google gehörenden Cybersicherheitsunternehmen Mandiant untersuchten anschließend den Angriff. Bitget berichtete, dass beide Untersuchungen kompromittierte Sicherheitsprodukte von Drittanbietern identifizierten, die unbefugten Zugriff auf die Wallet-Umgebung der Börse ermöglichten.
Wie crypto.news zuvor berichtete, nahm Bitget am 28. September Bitcoin-Auszahlungen wieder auf, nachdem der Auszahlungsservice während der Untersuchung des Sicherheitsverstoßes vorübergehend ausgesetzt worden war.
Die Börse erklärte, dass die Angreifer weder ihre Cold Wallets kompromittiert noch private Schlüssel erlangt hätten. Sie betonte, dass die Kontostände der Kunden unberührt blieben, und verpflichtete ihren User Protection Fund zur Deckung des finanziellen Verlusts.
In einer Ankündigung vom 30. September berichtete Bitget, den Schutzfonds auf mehr als 300 Millionen US-Dollar aufgestockt zu haben. Ihr Proof-of-Reserves-Update vom September zeigte separat eine kombinierte Reservequote von 131 % über 19 abgedeckte Vermögenswerte.
Ermittler identifizieren frühere Versuche, gestohlene Gelder zu verschleiern
Die gemeldeten Zcash-Übertragungen sind nicht die ersten Versuche von mit dem Bitget-Sicherheitsverstoß in Verbindung gebrachten Angreifern, Vermögenswerte über Dienste zu bewegen, die die Transaktionsverfolgung erschweren sollen.
Nach dem Angriff im September verfolgte das Blockchain-Analyseunternehmen AMLBot etwa vier BTC, die mit dem Vorfall in Verbindung standen, bei ihrem Eingang in eine Wasabi-CoinJoin-Transaktion.
Die CoinJoin-Übertragungen des Bitget-Hackers folgten Berichten zufolge einer Route über TRON, USDT0, Ethereum, THORChain und Bitcoin.
CoinJoin kombiniert Transaktionseingänge und -ausgänge mehrerer Teilnehmer, wodurch es schwieriger wird festzustellen, welcher Ausgang zu einem einzelnen Absender gehört.
Eine separate Blockchain-Verfolgung identifizierte etwa 2.390 ETH, die über 27 Transaktionen auf THORChain in 75,2 BTC umgewandelt wurden, was damals einem Wert von rund 6,3 Millionen US-Dollar entsprach.
Bitget hatte THORChain ersucht, mit dem Diebstahl verbundene Adressen zu beschränken. Die Betreiber des Netzwerks betonten, dass ihre Notfallkontrollen die Netzwerkaktivität aussetzen, aber nicht selektiv den Swap eines einzelnen Nutzers blockieren könnten.
In den Tagen nach dem Sicherheitsverstoß führte Bitget ein Wiederherstellungs-Bounty-Programm ein, das Belohnungen für qualifizierte Unterstützung beim Einfrieren und Wiedererlangen gestohlener Vermögenswerte bietet.
Das Programm stellt 5 % erfolgreich eingefrorener Gelder qualifizierten Beitragenden zur Verfügung und weitere 5 % für Gelder, die durch qualifizierte freiwillige Maßnahmen erfolgreich wiedererlangt wurden.
Bitget schloss Maßnahmen, die aufgrund von Gerichtsbeschlüssen oder Anweisungen von Strafverfolgungsbehörden durchgeführt wurden, von der Bounty-Berechtigung aus. Das Unternehmen behielt die letztendliche Verantwortung für die Bestimmung qualifizierter Beiträge und die Berechnung der Zahlungen.
Bitget-Wiederherstellungsuntersuchung bleibt aktiv
Während die Ermittler weiterhin den gestohlenen Vermögenswerten nachgehen, hat die Börse identifizierte Angreiferadressen Sicherheitsfirmen, Blockchain-Projekten und anderen an der Nachverfolgung beteiligten Organisationen zur Verfügung gestellt.
Ihre Ankündigung vom 25. September umfasste Adressen auf Ethereum-kompatiblen Netzwerken, XRP Ledger, Zcash und TRON sowie ein öffentliches Meldesystem für Wiederherstellungen.
Bitget erklärte, das Nachverfolgungs-Dashboard werde aktualisiert, sobald die Ermittler weitere Wallets oder Bewegungen im Zusammenhang mit dem Vorfall identifizierten. Die Börse ermutigte Verwahrer, Stablecoin-Emittenten und Handelsplattformen, relevante Entdeckungen zu melden.
Der Sicherheitsvorfall im September war der größte Einzelvorfall im 768-Millionen-Dollar-Hack-Monat der Kryptowelt, so die am 1. Oktober veröffentlichten Ergebnisse der Blockchain-Sicherheitsfirmen PeckShield und CertiK.
PeckShield verzeichnete 766,5 Millionen Dollar bei 55 größeren Vorfällen im September, während CertiK 768,4 Millionen Dollar bei 97 Vorfällen schätzte. Ihre Summen basierten auf unterschiedlichen Meldeverfahren und erfassten Bruttobeträge der betroffenen Vermögenswerte, einschließlich später wiederhergestellter Assets.
Zu den neu gemeldeten Zcash-Transfers hat Specter keine vollständige Abrechnung der mit Cryptobills Ledger oder Triple-A verbundenen Gelder offengelegt. Für diese spezifischen Transfers wurde weder ein bestätigter Wiederherstellungsbetrag noch ein endgültiges Ziel festgestellt.
