Portfel powiązany z hakerem Bitget wymienił około 6,3 miliona dolarów w ETH na Bitcoina za pośrednictwem THORChain po tym, jak sieć odrzuciła prośbę giełdy o zablokowanie adresów powiązanych z jej naruszeniem z 24 września.
Podsumowanie
- Portfel zrealizował 27 swapów, wymieniając około 2390 ETH na 75,2 BTC.
- Bitget poprosił THORChain o odrzucenie transakcji z adresów, które zidentyfikował jako należące do atakującego.
- THORChain stwierdził, że jego mechanizmy awaryjne mogą wstrzymać aktywność sieci, ale nie mogą zamrozić pojedynczego swapa.
- Bitget podniósł szacunki dotyczące aktywów przeniesionych na adresy kontrolowane przez atakującego do 387,5 miliona dolarów.
Zgodnie z analizą zapisów transakcji THORChain przeprowadzoną przez CoinDesk, 27 zrealizowanych swapów wysłało wszystkie 75,2 BTC na jeden adres odbiorczy. Zlecenia pochodziły z portfela Ethereum, który tracker blockchain Lookonchain zidentyfikował jako część aktywności atakującego. Cztery kolejne transakcje obejmujące łącznie 400 ETH były w trakcie realizacji, gdy CoinDesk analizował zapisy.
Portfel powiązany z Bitget wymienia ETH w 27 swapach
Złożone między około 03:55 a 06:23 UTC w poniedziałek, większość zleceń obejmowała około 100 ETH każde. CoinDesk wycenił każdą partię na około 265 000 dolarów przy cenach użytych w swojej analizie. Zrealizowane transakcje wymieniły około 2390 ETH na 75,2 BTC; oczekujące 400 ETH było oddzielone od tej sumy.
Zapisy pokazały również ograniczenia dotyczące tego, co portfel mógł wymienić po wybranych cenach. Dwa zlecenia po 100 ETH zostały tylko częściowo zrealizowane, ponieważ części nie spełniały minimalnej ceny ustalonej dla transakcji. Około 114 ETH zostało zwrócone do portfela wysyłającego, zgodnie z analizą CoinDesk.
THORChain pozwala użytkownikowi wymieniać aktywa przechowywane na różnych blockchainach bez wysyłania ich przez scentralizowaną giełdę. W poniedziałkowych transakcjach ETH weszło do sieci swapowej, a BTC trafiło na adres w sieci Bitcoin. Obie strony transferu pozostają widoczne w publicznych blockchainach, co pozwala śledczym śledzić zarejestrowane ruchy, mimo że aktywa zmieniły łańcuchy.
Oddzielna ścieżka już wcześniej wprowadziła Bitcoina powiązanego z Bitget do transakcji prywatnościowej. 27 września firma zajmująca się zgodnością blockchain AMLBot prześledziła około czterech BTC do rundy Wasabi CoinJoin po tym, jak fundusze przeniosły się z TRON do Ethereum, a następnie przez THORChain. AMLBot stwierdził, że jego śledzenie powiązało Bitcoina z portfelem TRON powiązanym z Bitget. CoinJoin łączy wejścia i wyjścia od wielu użytkowników w jednej transakcji, utrudniając ustalenie bezpośredniego dopasowania między nimi.
THORChain twierdzi, że wstrzymanie nie może dotyczyć jednego adresu
Dyrektor generalna Bitget, Gracy Chen, poprosiła THORChain w weekend o odmowę obsługi adresów, które giełda opublikowała i śledziła. W swoim poście na X argumentowała, że sieć powinna działać na zidentyfikowanych funduszach:
„Decentralizacja to zasada projektowa, a nie tarcza do ułatwiania znanych skradzionych funduszy.”
THORChain odrzucił prośbę o blokadę konkretnego adresu. W swojej publicznej odpowiedzi zespół stwierdził, że wstrzymanie sieci jest narzędziem awaryjnym do ochrony protokołu i „nie jest selektywnym zamrożeniem określonych funduszy ani pojedynczego swapa”. Według zespołu jego mechanizmy kontrolne mogą zatrzymać swapy w całej sieci lub ograniczyć aktywność na podłączonym blockchainie, ale każde z tych działań przerwałoby również transakcje innych użytkowników.
Firma bezpieczeństwa GoPlus zakwestionowała opis dostępnych mechanizmów kontrolnych THORChain. Jak doniesiono 27 września, firma wskazała na głosy walidatorów, kontrolę podpisywania i pauzy specyficzne dla łańcucha opisane w dokumentacji THORChain. GoPlus argumentował, że te mechanizmy dają operatorom węzłów sposoby interwencji, gdy fundusze są zagrożone. THORChain utrzymuje, że jego awaryjne wstrzymanie chroni samą sieć i nie służy jako lista zablokowanych dla konkretnych portfeli.
Sieć użyła swoich mechanizmów awaryjnych po tym, jak atakujący zabrał około 10,7 miliona dolarów ze skarbca THORChain w maju. Operatorzy wstrzymali aktywność, podczas gdy deweloperzy naprawiali lukę, a handel wznowiono w czerwcu po około pięciu tygodniach. THORChain stwierdził, że adresy majowego atakującego nie zostały indywidualnie umieszczone na czarnej liście.
Bitget podnosi szacunek naruszenia i oferuje nagrody za odzyskanie
Bitget początkowo wycenił aktywa dotknięte naruszeniem z 24 września na około 351,6 miliona dolarów. Po uwzględnieniu aktywów Zcash i TRON pominiętych w początkowych obliczeniach, giełda podniosła wartość przeniesioną na adresy kontrolowane przez atakującego do około 387,5 miliona dolarów. Bitget stwierdził, że wzrost wynikał z pełniejszego przeglądu pierwotnego incydentu, a nie z dodatkowej kradzieży po naruszeniu.
Giełda wykryła nieautoryzowane przelewy o 18:31 UTC 24 września i zawiesiła wypłaty na czas dochodzenia. Bitget stwierdził, że jego zimne portfele pozostały bezpieczne. W późniejszej aktualizacji podano, że śledczy znaleźli i naprawili lukę, a Mandiant i SlowMist pomagali w dochodzeniu i kontrolach bezpieczeństwa. Bitget nie opublikował pełnego publicznego sprawozdania z tego, jak atakujący wszedł do jego systemów.
Chen następnie ogłosił program nagród za odzyskanie z oddzielnymi 5% nagrodami za kwalifikujące się wysiłki, które zamrożą skradzione aktywa i je odzyskają. Bitget opublikował główne adresy atakującego w sieciach kompatybilnych z Ethereum, XRP Ledger, Zcash i TRON, wraz z panelem śledzenia dalszych ruchów. Giełda stwierdziła, że zdecyduje o kwalifikowalności i płatnościach na podstawie wkładu każdego uczestnika; praca wykonana na podstawie nakazu sądowego lub wniosku organów ścigania nie kwalifikuje się do nagrody.
Dla amerykańskich czytelników, wysiłek odzyskiwania obejmuje Circle, amerykańskiego emitenta USDC. Bitget stwierdził, że Circle zamroził 99 990 USDC związanych z atakiem, podczas gdy Tether zamroził 218 023 USDT. Te zamrożenia tokenów dotyczyły zidentyfikowanych sald stablecoinów; odpowiedź THORChain dotyczyła oddzielnej prośby Bitget o zatrzymanie swapów ETH na BTC. Bitget omawiał również przyszłą działalność w USA, a Chen powiedział w lipcu, że będzie ubiegać się o licencje i zatwierdzenia przed oferowaniem usług Amerykanom.
Wypłaty Bitcoin prowadzą etapowe ponowne otwarcie Bitget
Bitget przedstawił etapowy harmonogram wypłat po kontrolach bezpieczeństwa. Zgodnie z opublikowanym harmonogramem, wypłaty Bitcoin w sieci Bitcoin miały zostać wznowione o 08:00 UTC 28 września. Wypłaty ETH w Ethereum, BNB Smart Chain, Arbitrum, Base i Optimism zaplanowano na tę samą godzinę 29 września.
Harmonogram umieścił wypłaty USDT w Ethereum, BNB Smart Chain, Solana i TRON na 08:00 UTC 30 września. Bitget przypisał inne tokeny, usługi fiat i transakcje peer-to-peer do ostatniego etapu zaplanowanego na 2 października. Giełda poinformowała klientów, aby sprawdzali jej oficjalne komunikaty w celu potwierdzenia, że każda usługa była dostępna.
