Кошелек, связанный с хакером Bitget, обменял около $6,3 млн в ETH на биткоин через THORChain после того, как сеть отклонила запрос биржи заблокировать адреса, связанные с ее взломом 24 сентября.
Сводка
- Кошелек совершил 27 обменов, конвертировав около 2 390 ETH в 75,2 BTC.
- Bitget попросила THORChain отказывать в транзакциях с адресов, которые она идентифицировала как принадлежащие злоумышленнику.
- THORChain заявила, что ее экстренные средства контроля могут остановить активность сети, но не могут заморозить отдельный обмен.
- Bitget повысила оценку активов, переведенных на адреса, контролируемые злоумышленником, до $387,5 млн.
Согласно анализу записей транзакций THORChain, проведенному CoinDesk, 27 завершенных обменов отправили все 75,2 BTC на один адрес получателя. Ордера поступали с кошелька Ethereum, который блокчейн-трекер Lookonchain идентифицировал как часть активности злоумышленника. Еще четыре транзакции на общую сумму 400 ETH находились в ожидании на момент анализа записей CoinDesk.
Связанный с Bitget кошелек конвертирует ETH в 27 обменах
Поданные примерно между 03:55 и 06:23 UTC в понедельник, большинство ордеров составляли около 100 ETH каждый. CoinDesk оценил каждую партию примерно в $265 000 по ценам, использованным в своем анализе. Завершенные транзакции обменяли примерно 2 390 ETH на 75,2 BTC; ожидающие 400 ETH были отдельно от этой суммы.
Записи также показали ограничения на то, что кошелек мог обменять по выбранным им ценам. Два ордера по 100 ETH были исполнены лишь частично, поскольку части не соответствовали минимальной цене, установленной для сделки. Около 114 ETH было возвращено на кошелек отправителя, согласно анализу CoinDesk.
THORChain позволяет пользователю обменивать активы, хранящиеся в разных блокчейнах, без отправки их через централизованную биржу. В транзакциях понедельника ETH поступал в сеть обмена, а BTC отправлялся на адрес в сети Bitcoin. Обе стороны перевода остаются видимыми в публичных блокчейнах, что позволяет следователям отслеживать записанные перемещения, даже несмотря на то, что активы сменили цепочку.
Отдельный маршрут уже поместил связанный с Bitget биткоин в транзакцию конфиденциальности. 27 сентября фирма по блокчейн-комплаенсу AMLBot отследила около четырех BTC в раунде Wasabi CoinJoin после того, как средства переместились из TRON в Ethereum, а затем через THORChain. AMLBot заявила, что ее отслеживание связало биткоин с кошельком TRON, связанным с Bitget. CoinJoin объединяет входы и выходы от нескольких пользователей в одну транзакцию, что затрудняет установление прямого соответствия между ними.
THORChain заявляет, что остановка не может быть нацелена на один адрес
Генеральный директор Bitget Грейси Чен попросила THORChain в выходные отказать в обслуживании адресам, которые биржа опубликовала и отслеживала. В своем посте в X она утверждала, что сеть должна действовать в отношении идентифицированных средств:
«Децентрализация — это принцип дизайна, а не щит для содействия известным украденным средствам».
THORChain отклонила запрос на блокировку конкретного адреса. В своем публичном ответе команда заявила, что остановка сети — это экстренный инструмент для защиты протокола и «не является выборочной заморозкой конкретных средств или отдельного обмена». Согласно команде, ее средства контроля могут остановить обмены по всей сети или ограничить активность в подключенном блокчейне, но любое из этих действий также прервет транзакции других пользователей.
Фирма по безопасности GoPlus оспорила описание THORChain своих доступных средств контроля. Как сообщалось 27 сентября, фирма указала на голосования валидаторов, средства контроля подписи и паузы для конкретных цепочек, описанные в документации THORChain. GoPlus утверждала, что эти механизмы дают операторам узлов способы вмешательства, когда средства находятся под угрозой. THORChain настаивает, что ее экстренная остановка защищает саму сеть и не служит черным списком для конкретных кошельков.
Сеть использовала свои экстренные средства контроля после того, как злоумышленник вывел около $10,7 млн из хранилища THORChain в мае. Операторы остановили активность, пока разработчики устраняли уязвимость, и торговля возобновилась в июне примерно через пять недель. THORChain заявила, что адреса майского злоумышленника не были индивидуально занесены в черный список.
Bitget повышает оценку ущерба от взлома и предлагает вознаграждения за восстановление
Изначально Bitget оценила активы, затронутые взломом 24 сентября, примерно в $351,6 млн. После учёта активов Zcash и TRON, пропущенных в первоначальном расчёте, биржа повысила стоимость переведённых на адреса, контролируемые злоумышленником, примерно до $387,5 млн. Bitget заявила, что увеличение связано с более полным пересмотром первоначального инцидента, а не с дополнительной кражей после взлома.
Биржа обнаружила несанкционированные переводы в 18:31 UTC 24 сентября и приостановила вывод средств на время расследования. Bitget заявила, что её холодные кошельки остались в безопасности. В более позднем обновлении говорилось, что следователи обнаружили и устранили уязвимость, а Mandiant и SlowMist помогали с расследованием и проверками безопасности. Bitget не опубликовала полного публичного отчёта о том, как злоумышленник проник в её системы.
Затем Чен объявил о программе вознаграждений за восстановление с отдельными вознаграждениями в размере 5% за соответствующие усилия по замораживанию украденных активов и их возврату. Bitget опубликовала основные адреса злоумышленника в сетях, совместимых с Ethereum, XRP Ledger, Zcash и TRON, а также панель отслеживания дальнейших перемещений. Биржа заявила, что будет определять право на участие и выплаты на основе вклада каждого участника; работа, выполненная по судебному приказу или запросу правоохранительных органов, не даёт права на вознаграждение.
Для американских читателей: усилия по восстановлению включают Circle, американского эмитента USDC. Bitget заявила, что Circle заморозила 99 990 USDC, связанных с атакой, а Tether заморозила 218 023 USDT. Эти заморозки токенов касались идентифицированных балансов стейблкоинов; ответ THORChain касался отдельного запроса Bitget остановить обмены ETH на BTC. Bitget также обсуждала будущий бизнес в США, и Чен в июле заявил, что компания будет добиваться лицензий и разрешений, прежде чем предлагать услуги американцам.
Вывод биткоинов возглавляет поэтапное возобновление работы Bitget
Bitget установила поэтапный график вывода средств после проверок безопасности. Согласно опубликованному расписанию, вывод биткоинов в сети Bitcoin должен был возобновиться в 08:00 UTC 28 сентября. Вывод ETH в Ethereum, BNB Smart Chain, Arbitrum, Base и Optimism был запланирован на то же время 29 сентября.
График предусматривал вывод USDT в Ethereum, BNB Smart Chain, Solana и TRON на 08:00 UTC 30 сентября. Bitget отнесла другие токены, фиатные услуги и одноранговые транзакции к заключительному этапу, запланированному на 2 октября. Биржа попросила клиентов проверять её официальные уведомления для подтверждения доступности каждой услуги.
