Хакер Bitget конвертировал украденные USDC в ETH после взлома, который биржа оценила примерно в 351,6 миллиона долларов, что вновь подняло вопросы о том, когда Circle заморозит средства, связанные с атакой.
Краткое содержание
- Исследователь безопасности Тейлор Монахан отметила переводы и обмены USDC, связанные с атакующим Bitget.
- Bitget оценила кражу в 351,6 миллиона долларов и временно приостановила вывод средств.
- Circle заявляет, что замораживает USDC, когда к этому обязывает закон, в то время как исследователи критиковали скорость её реакции в прошлых взломах.
- Иск в США по поводу эксплойта Drift поднял аналогичные вопросы о перемещении украденных USDC между блокчейнами.
Исследователь безопасности Тейлор Монахан отметила активность атакующего в X, указав на перемещение USDC через кошельки, поскольку украденные активы конвертировались в ETH. Монахан задалась вопросом, почему средства оставались мобильными, несмотря на способность Circle блокировать переводы с определённых адресов USDC.
Согласно описанию Монахан, транзакции показывают, что атакующий использовал USDC в процессе конвертации. Её критика касается реакции Circle на идентифицируемые средства, хотя публичное описание переводов не устанавливает, получила ли Circle судебный приказ в отношении этих адресов или когда она узнала их личности.
Атакующий Bitget перемещает USDC после взлома на 351,6 миллиона долларов
Bitget заявила, что её системы безопасности обнаружили несанкционированные переводы с некоторых горячих кошельков в 18:31 UTC 24 сентября. Биржа активировала экстренное реагирование, приостановила вывод средств клиентов и оценила затронутые активы примерно в 351,6 миллиона долларов. Депозиты и торговля оставались доступными, при этом Bitget заявила, что балансы счетов точны, а холодные кошельки защищены.
В своём первоначальном отчёте о взломе crypto.news осветил рассказ генерального директора Bitget Грейси Чен о предварительном расследовании. Чен сказала, что следователи исключили утечку приватных ключей кошельков и полагают, что атакующие вошли в системы биржи, чтобы напрямую перемещать средства, не подавая запросы на вывод средств клиентов. Bitget всё ещё расследовала точку входа и не опубликовала окончательный отчёт об атаке.
Кража затронула несколько активов, в результате чего следователям пришлось отслеживать более одного маршрута украденных средств. Ончейн-трекер Lookonchain оценил украденный портфель примерно в 356,8 миллиона долларов, используя цены на момент своего обновления. Его разбивка включала 102,93 миллиона XRP стоимостью около 157,48 миллиона долларов, 31 890 ETH стоимостью около 85,75 миллиона долларов и 21,05 миллиона USDC. Изменяющаяся ончейн-оценка Lookonchain и внутренняя цифра убытков Bitget используют разные измерения.
Bitget заявила, что пометила адреса, связанные с аномальными переводами, и уведомила правоохранительные органы и ончейн-компании по безопасности. Чен сказала, что меры по предотвращению дальнейших оттоков были завершены, пока инженеры работали над восстановлением и возвращением услуг по выводу средств.
Беспокойство Монахан сосредоточено на части украденных активов, хранящихся в USDC. Условия USDC Circle гласят, что эмитент оставляет за собой право блокировать переводы на определённые ончейн-адреса и с них в соответствии со своей политикой внесения в чёрный список. Однако после того, как атакующий обменяет USDC на ETH, блокировка адреса USDC не может заморозить ETH, полученные в этой сделке.
Политика заморозки Circle вызывает спор о времени реакции
Circle описала более узкий стандарт использования своих технических средств контроля, чем тот, которого требуют её критики во время активного эксплойта. В апрельском заявлении о законном вмешательстве, опубликованном после взлома Drift Protocol, компания заявила, что применяет свою способность замораживать средства, когда к этому обязывает закон компетентный орган. Circle утверждала, что позволение эмитенту самостоятельно решать, чьи активы блокировать, может поставить под угрозу имущественные права законных держателей.
В своих условиях использования USDC компания Circle также указывает, что может быть обязана заморозить токены после получения законного распоряжения от компетентного государственного органа. В этих же условиях отдельно оговаривается право блокировать определённые адреса, которые, по мнению Circle, могут быть связаны с незаконной деятельностью или нарушением её условий. В них указано, что транзакция USDC в блокчейне не может быть отменена или возвращена после её инициирования.
Эти положения важны для держателей в США, поскольку Circle выпускает обеспеченный долларом стейблкоин, используемый на биржах и в децентрализованных приложениях, а её решения о заморозке могут влиять на доступ к токенам по конкретному адресу. Заявленная политика Circle ставит законную процедуру в центр такого решения. Критика Монахана сосредоточена на времени, доступном для вмешательства до того, как предполагаемый злоумышленник завершит перемещение или обмен USDC.
В своём апрельском заявлении Circle сообщила, что инструменты для более быстрого вмешательства существуют, но правовые рамки для более оперативных скоординированных действий при защите прав пользователей остаются неполными. Компания призвала к более чётким правилам и к мерам безопасности на уровне протоколов, кошельков, бирж и эмитентов стейблкоинов.
ZachXBT задокументировал 15 более ранних случаев с USDC
В апреле ончейн-исследователь ZachXBT заявил, что Circle предприняла минимальные действия или не действовала достаточно быстро в 15 случаях, связанных с более чем $420 млн предполагаемых незаконных потоков USDC с 2022 года. Его список охватывал взломы и случаи мошенничества, в которых, по его словам, украденные средства оставались мобильными, несмотря на наличие времени для выявления активности.
Как ранее сообщал crypto.news, ZachXBT сослался примерно на $9 млн в USDC, связанных со взломом GMX в июле 2025 года, и заявил, что кошельки, участвовавшие во взломе Cetus, были заблокированы только после того, как украденные USDC были конвертированы в ETH. Он также утверждал, что злоумышленники в деле Drift переместили около $232 млн примерно за шесть часов и более чем за 100 транзакций, прежде чем конвертировать средства.
Переводы Drift стали предметом гражданского дела в США. В апреле истец подал иск против Circle из-за переводов после эксплойта, утверждая, что эмитент не остановил около $230 млн украденных USDC, проведённых через его Cross-Chain Transfer Protocol. В иске, поданном в федеральный окружной суд Массачусетса, утверждается, что более раннее вмешательство могло бы уменьшить потери. Это утверждения истца, а не вывод суда против Circle.
В этом деле истец также указал на заморозку Circle 16 кошельков, связанных с USDC, по отдельному засекреченному гражданскому делу в США, как на доказательство того, что эмитент может блокировать адреса. Публичное заявление Circle в апреле, выпущенное после атаки на Drift, гласило, что заморозки требуют законных полномочий, и призывало к созданию правовых структур, которые позволили бы действовать быстрее в будущих инцидентах.
