Una billetera vinculada al hacker de Bitget ha intercambiado aproximadamente $6.3 millones en ETH por Bitcoin a través de THORChain después de que la red rechazara la solicitud del exchange de bloquear direcciones vinculadas a su brecha del 24 de septiembre.
Resumen
- La billetera completó 27 swaps, convirtiendo aproximadamente 2,390 ETH en 75.2 BTC.
- Bitget pidió a THORChain que rechazara transacciones de direcciones que había identificado como pertenecientes al atacante.
- THORChain dijo que sus controles de emergencia pueden detener la actividad de la red pero no pueden congelar un swap individual.
- Bitget ha elevado su estimación de activos transferidos a direcciones controladas por el atacante a $387.5 millones.
Según la revisión de CoinDesk de los registros de transacciones de THORChain, los 27 swaps completados enviaron los 75.2 BTC a una dirección receptora. Las órdenes provinieron de una billetera de Ethereum que el rastreador de blockchain Lookonchain había identificado como parte de la actividad del atacante. Cuatro transacciones más que involucraban un total de 400 ETH estaban pendientes cuando CoinDesk revisó los registros.
Billetera vinculada a Bitget convierte ETH en 27 swaps
Enviadas aproximadamente entre las 03:55 y las 06:23 UTC del lunes, la mayoría de las órdenes involucraban alrededor de 100 ETH cada una. CoinDesk valoró cada lote en aproximadamente $265,000 a los precios utilizados en su revisión. Las transacciones completadas intercambiaron aproximadamente 2,390 ETH por 75.2 BTC; los 400 ETH pendientes eran separados de ese total.
Los registros también mostraron límites sobre lo que la billetera podía intercambiar a los precios elegidos. Dos órdenes de 100 ETH solo se llenaron parcialmente porque porciones no cumplían con el precio mínimo establecido para la operación. Aproximadamente 114 ETH fueron devueltos a la billetera emisora, según la revisión de CoinDesk.
THORChain permite a un usuario intercambiar activos mantenidos en diferentes blockchains sin enviarlos a través de un exchange centralizado. En las transacciones del lunes, ETH ingresó a la red de swaps y BTC fue a una dirección en la red Bitcoin. Ambos lados de la transferencia permanecen visibles en blockchains públicas, lo que deja a los investigadores capaces de seguir los movimientos registrados aunque los activos cambiaron de cadena.
Una ruta separada ya había puesto Bitcoin vinculado a Bitget en una transacción de privacidad. El 27 de septiembre, la firma de cumplimiento blockchain AMLBot rastreó aproximadamente cuatro BTC hacia una ronda de Wasabi CoinJoin después de que los fondos se movieron de TRON a Ethereum y luego a través de THORChain. AMLBot dijo que su rastreo vinculó el Bitcoin a una billetera TRON asociada con Bitget. CoinJoin combina entradas y salidas de múltiples usuarios en una transacción, haciendo más difícil establecer una coincidencia directa entre ellas.
THORChain dice que una detención no puede dirigirse a una sola dirección
La CEO de Bitget, Gracy Chen, pidió a THORChain durante el fin de semana que rechazara el servicio a las direcciones que el exchange había publicado y estaba rastreando. En su publicación en X, argumentó que la red debería actuar sobre los fondos identificados:
“La descentralización es un principio de diseño, no un escudo para facilitar fondos robados conocidos.”
THORChain rechazó la solicitud de un bloqueo específico para direcciones. En su respuesta pública, el equipo dijo que una detención de la red es una herramienta de emergencia para proteger el protocolo y “no es una congelación selectiva de fondos específicos o un swap individual”. Sus controles pueden detener swaps en toda la red o restringir la actividad en una blockchain conectada, según el equipo, pero cualquiera de las dos acciones también interrumpiría transacciones de otros usuarios.
La firma de seguridad GoPlus ha cuestionado la versión de THORChain sobre sus controles disponibles. Como se informó el 27 de septiembre, la firma señaló votos de validadores, controles de firma y pausas específicas de cadena descritas en la documentación de THORChain. GoPlus argumentó que esos mecanismos dan a los operadores de nodos formas de intervenir cuando los fondos están en riesgo. THORChain mantiene que su detención de emergencia protege la red misma y no sirve como lista de bloqueo para billeteras particulares.
La red utilizó sus controles de emergencia después de que un atacante tomara aproximadamente $10.7 millones de una bóveda de THORChain en mayo. Los operadores detuvieron la actividad mientras los desarrolladores reparaban la vulnerabilidad, y el comercio se reanudó en junio después de aproximadamente cinco semanas. THORChain dijo que las direcciones del atacante de mayo no fueron incluidas individualmente en la lista negra.
Bitget eleva la estimación de la brecha y ofrece recompensas por recuperación
Bitget valoró inicialmente los activos afectados por la brecha del 24 de septiembre en aproximadamente $351.6 millones. Después de contabilizar los activos de Zcash y TRON omitidos en su cálculo inicial, el exchange elevó el valor transferido a direcciones controladas por atacantes a alrededor de $387.5 millones. Bitget dijo que el aumento provino de una revisión más completa del incidente original, en lugar de un robo adicional después de la brecha.
El exchange detectó transferencias no autorizadas a las 18:31 UTC del 24 de septiembre y suspendió los retiros mientras investigaba. Bitget dijo que sus carteras frías permanecieron seguras. Su actualización posterior indicó que los investigadores habían encontrado y corregido la vulnerabilidad, mientras que Mandiant y SlowMist estaban ayudando con la investigación y las verificaciones de seguridad. Bitget no ha publicado un informe público completo de cómo el atacante ingresó a sus sistemas.
Chen anunció posteriormente un programa de recompensas por recuperación con recompensas separadas del 5% para esfuerzos elegibles que congelen los activos robados y los recuperen. Bitget publicó las direcciones principales de los atacantes en redes compatibles con Ethereum, XRP Ledger, Zcash y TRON, junto con un panel de rastreo para movimientos posteriores. El exchange dijo que decidiría la elegibilidad y los pagos en función de la contribución de cada participante; el trabajo realizado bajo una orden judicial o solicitud de las fuerzas del orden no califica para la recompensa.
Para los lectores estadounidenses, el esfuerzo de recuperación incluye a Circle, el emisor con sede en EE. UU. de USDC. Bitget dijo que Circle había congelado 99,990 USDC vinculados al ataque, mientras que Tether había congelado 218,023 USDT. Esas congelaciones de tokens concernían a saldos de stablecoins identificados; la respuesta de THORChain abordó la solicitud separada de Bitget de detener los swaps de ETH a BTC. Bitget también ha discutido un futuro negocio en EE. UU., con Chen diciendo en julio que buscaría licencias y aprobaciones antes de ofrecer servicios a los estadounidenses.
Los retiros de Bitcoin lideran la reapertura escalonada de Bitget
Bitget estableció un calendario de retiros por fases después de las verificaciones de seguridad. Según el calendario publicado, los retiros de Bitcoin en la red Bitcoin debían reabrirse a las 08:00 UTC del 28 de septiembre. Los retiros de ETH en Ethereum, BNB Smart Chain, Arbitrum, Base y Optimism estaban programados para la misma hora del 29 de septiembre.
El calendario situó los retiros de USDT en Ethereum, BNB Smart Chain, Solana y TRON a las 08:00 UTC del 30 de septiembre. Bitget asignó otros tokens, servicios fiduciarios y transacciones entre pares a una etapa final programada para el 2 de octubre. El exchange dijo a los clientes que consultaran sus avisos oficiales para confirmar que cada servicio estaba disponible.
