Bitget требует заблокировать украденные средства. Кто может заставить кроссчейн-сеть подчиниться?

Bitget попросил THORChain отказать в обслуживании адресов, связанных с кражей кошелька на сумму 387,5 млн долларов. THORChain заявляет, что его экстренная остановка предназначена для защиты сети, а не для выборочной заморозки обмена конкретного пользователя. Эти две позиции демонстрируют разные виды контроля: эмитент может заблокировать свой собственный стейблкоин, биржа может закрыть счет, а операторы узлов THORChain могут приостановить маршруты. Ни один из них не является универсальным переключателем для украденных активов, как только они пересекают сети.

Свежий спор в рамках усилий Bitget по восстановлению — это вопрос о том, кто контролирует следующую транзакцию. Генеральный директор Грейси Чен призвала THORChain отказать в обслуживании адресам, связанным с взломом 24 сентября. Публичный ответ протокола от 28 сентября разграничил возможность остановить свою сеть и механизм, нацеленный на один адрес. GoPlus Security оспорила аналогию, которую THORChain провела с базовыми цепочками, указав на роль набора валидаторов в управлении хранилищами и приостановке сетевых функций.

С долларовой цифрой нужно обращаться осторожно. Изначально Bitget оценил потери в 351,6 млн долларов, затем повысил оценку до примерно 387,5 млн долларов после добавления транзакций Zcash и TRON, выявленных при более полном учете. Пересмотр — это собственная оценка Bitget активов, перемещенных на адреса, контролируемые злоумышленником. Это не независимое окончательное определение убытков и не заявление о том, что после первого раскрытия исчезли еще 35,9 млн долларов. Компания заявляет, что балансы клиентов остаются нетронутыми, а ее защитный фонд покроет последствия; это заявления компании, а не независимый аудит восстановления.

Не существует единой сущности под названием кросс-чейн сеть, обладающей властью над всеми этими активами. Злоумышленник может держать токен, эмитент которого имеет функцию заморозки, обменять его на актив без такого эмитента, совершить обмен между нативными цепочками и найти кастодиана, готового принять вырученные средства. Каждый шаг оставляет不同的 точку вмешательства. Запрос Bitget имеет наибольший смысл, когда эти точки разделены.

Заявленная заморозка составляет небольшую долю от пересмотренного ущерба

Bitget объявил о вознаграждении за восстановление в размере 5% за подходящие усилия по заморозке непосредственно затронутых средств и еще 5% за восстановление. Он заявил, что Circle и Tether заморозили 99 990 USDC и 218 023 USDT, связанных со взломом. При их привязке к доллару эти две суммы в совокупности составляют примерно 318 013 долларов. Разделите это на 387,5 млн долларов, и заявленная заморозка составит около 0,082%, или примерно восемь центов на каждые 100 долларов пересмотренной оценки перемещенных активов.

Этот расчет намеренно узок. Он не говорит, что только 318 013 долларов из вырученных средств остаются идентифицируемыми или что Bitget возместил только эту сумму. Биржа заявляет, что другие затронутые активы были заморожены через партнеров, но не предоставила общий итог замороженного и восстановленного в упомянутом обновлении. Ее оценка охватывает несколько типов активов и сетей. Числитель в долларовом выражении от двух действий эмитентов и широкий знаменатель инцидента полезны для масштаба, но не являются полным реестром восстановления.

Механизмы тоже разные. Эмитент стейблкоина может иметь полномочия на уровне контракта в отношении конкретного токена. Заморозка USDC на адресе может помешать этому адресу отправлять токен на условиях и под контролем эмитента. Она не может заморозить нативный ETH или BTC только потому, что эти активы были ранее куплены с использованием USDC. Централизованная биржа может приостановить счет клиента или отказать во внесении депозита, связанного с помеченными адресами. Она не может дотянуться до самостоятельно хранимого биткоин-кошелька вне своего сервиса. Оператор протокола может остановить некоторые или все обмены, но это решение может прервать как невиновных пользователей, так и подозрительных.

Самый эффективный практический метод возврата средств, таким образом, зависит от времени. Следователи идентифицируют адреса, отслеживают свопы, передают информацию следующему эмитенту или кастодиальной площадке и добиваются действий, пока актив всё ещё находится под контролем этой стороны. Если токен уже был конвертирован и выведен, заморозка предыдущим эмитентом происходит слишком поздно для этого этапа. Отслеживание остаётся ценным, но проследить монету и обездвижить её — это разные достижения.

Своп проходит через хранилище, процесс консенсуса и исходящую цепочку

Техническое описание нативных свопов THORChain начинается, когда пользователь отправляет актив, например BTC, в хранилище протокола в его нативной цепочке. Узлы наблюдают за этой входящей транзакцией. Сеть оценивает своп через свои пулы ликвидности и подготавливает исходящую транзакцию в целевом активе. Исходящий перевод из хранилища авторизуется с использованием пороговой подписи: несколько участников-узлов вносят свой вклад, при этом ни один оператор не владеет всем ключом.

Документация по хранилищам протокола объясняет, почему сравнение с простым платежом в биткоинах от кошелька к кошельку имеет ограничения. Узлы THORChain коллективно поддерживают инфраструктуру, которая принимает входящий актив и отправляет исходящий. Отдельные узлы — это не люди-клерки, вручную одобряющие каждый своп. Но у сети есть операционные настройки, которые могут приостановить активность в указанных цепочках или глобально. Эти полномочия описаны в документации THORChain о сетевых остановках.

Остановка — это широкое правило об обработке. Она может остановить маршрут, пока исследуется дисбаланс хранилища или эксплойт. Чёрный список адресов — это более узкое правило о том, кто может использовать маршрут, пока другие транзакции продолжаются. THORChain утверждает, что первое существует, а второе не является его обычным механизмом. GoPlus утверждает, что наличие хранилищ, контролируемых узлами, и документированных остановок означает, что сеть способна нести ответственность за то, что через неё проходит. Фактическое совпадение — это способность прерывать операции. Разногласие заключается в том, должна ли эта способность стать проверкой конкретных адресов и какие изменения программного обеспечения и управления потребует такая проверка.

Если своп всё ещё ожидает в очереди, своевременная пауза может прервать обработку до исходящего расчёта. Если исходящая транзакция уже рассчитана в биткоине, более поздняя остановка не может отменить историю биткоина. Если входящий актив уже поступил в хранилище и торговля остановлена, пользователь может столкнуться с задержкой или процессом возврата, регулируемым правилами протокола. Точный результат зависит от состояния транзакции и используемой остановки. Фраза вроде «заморозить средства на THORChain» слишком расплывчата, чтобы объяснить, какой актив где удерживается в момент вмешательства.

Тот же анализ применим к альтернативным маршрутам. Остановка одной площадки для свопов не мешает кошельку попытаться использовать другой мост, биржу или прямую продажу. Ответные меры по всему рынку требуют, чтобы многие независимые участники действовали вовремя. Это всё ещё может заблокировать значительные суммы, но это не команда, которую одна команда может отдать всем цепочкам.

След четырёх биткоинов пересекает несколько видов контроля

AMLBot проследил примерно 4 BTC, связанных с инцидентом, до раунда Wasabi CoinJoin, согласно отчёту от 27 сентября. Описанный путь начинался с активов на TRON, прошёл через USDT0 в Ethereum, использовал THORChain для обмена на биткоин, а затем вошёл в раунд CoinJoin. Это один наблюдаемый маршрут, а не маршрут, пройденный всеми $387,5 млн, и не доказательство того, что все адреса получателей принадлежат одному и тому же лицу.

Этот путь даёт полезную карту для вмешательства. На этапе стейблкоина эмитент токена может быть в состоянии действовать в отношении адреса, если контракт и юридические условия это позволяют. Во время моста или кросс-чейн перевода фактический дизайн оператора имеет значение. В THORChain операторы сети могут влиять на доступность свопов в рамках механизмов остановки протокола. На кастодиальной бирже операторы аккаунтов могут остановить депозиты или выводы. Как только нативный BTC контролируется внешним кошельком, THORChain больше не контролирует баланс этого кошелька, даже если BTC поступил из его исходящего хранилища.

CoinJoin объединяет входы и выходы в транзакции, предназначенной затруднить прямое отслеживание. Это не обязательно делает каждую монету навсегда неотслеживаемой или мешает более позднему кастодиану спросить у вкладчика о средствах. Публичный след, на который ссылается AMLBot, показывает, почему следователи спешат координировать действия across типов активов. Каждая конверсия может изменить, у какой стороны есть прямой технический рычаг и какие данные видны.

Есть соотношение, которому стоит сопротивляться. Четыре BTC — это количество одного маршрутизированного транша. Его нельзя разделить на всё происшествие без цены BTC с временной меткой, и даже это показало бы лишь долю заявленного убытка в этом конкретном отслеженном сегменте. Аналитическая ценность заключается в последовательности контрольных точек, а не в утверждении, что эти четыре монеты представляют собой всю хакерскую атаку.

Майская остановка THORChain доказывает одну силу и оставляет другую непроверенной

THORChain остановила функции после эксплойта собственного хранилища 15 мая, который, по сообщениям, составил примерно $10,7 млн. Проверки платёжеспособности выявили дисбаланс, и операторы узлов позже скоординировали дальнейшие меры. Crypto.news осветил план перезапуска из 11 шагов и eventual возвращение торговли в июне. История опровергает абсолютное утверждение, что THORChain не может приостановить активность. В её документации перечислены элементы управления для торговли в конкретных цепочках, подписи и более широких сетевых функций.

Это не показывает, что система в настоящее время поддерживает проверенный список адресов украденных средств и проверяет каждый входящий своп по нему. Остановка всех технически и экономически отличается от отказа одному идентифицированному пользователю. Чёрный список должен указывать, какие исходные адреса учитываются, как добавляются кошельки, связанные через переводы, кто проверяет доказательства, кто может обжаловать ошибочную запись и применяется ли правило к токену после того, как он сменил владельца. Ошибочное обозначение может заблокировать невиновного держателя. Узкое правило также побуждает атакующего перевести средства на новые адреса или использовать другой маршрут входа.

Контраргумент GoPlus Security сильнее всего в вопросах управления. Если набор валидаторов уже может скоординировать остановку, у него есть некоторая способность решить не обрабатывать категорию активности, даже если текущий механизм груб. Ответ THORChain сильнее всего в реализации. Широкая аварийная остановка не равна существующей выборочной заморозке, а отключение всей цепочки для блокировки одного адреса налагает издержки на несвязанные свопы. Эти утверждения могут сосуществовать. Ни одно из них не решает политический вопрос о том, следует ли добавлять правило проверки и кто будет его поддерживать.

Майский эпизод важен по второй причине. Он показывает, насколько дорогой может быть полная остановка: торговля не просто возобновилась в следующем блоке. Проверки хранилища и долей ключей были частью процесса перезапуска, и пользователям ликвидности пришлось ждать. Вмешательство в сетевую безопасность, чтобы предотвратить дальнейший уход средств из повреждённого хранилища, — это другой компромисс, нежели остановка, предназначенная для перехвата маршрута одного внешнего атакующего. В последнем случае пришлось бы взвесить масштаб вреда для других пользователей.

Один и тот же помеченный адрес означает разное в каждой цепочке

Bitget опубликовала основные адреса получения для нескольких сетей, включая EVM-совместимые цепочки, XRP Ledger, Zcash и TRON, согласно своему обновлению о восстановлении. Список адресов — это начальный набор наблюдений, а не универсальная запись идентичности. Один и тот же человек может контролировать множество кошельков, а сервис может получать активы от множества несвязанных клиентов на один адрес. Политика проверки, которая рассматривает каждый адрес, затронутый помеченным кошельком, как одинаково виновный, быстро достигла бы средств, принадлежащих людям, не играющим никакой роли в breach.

Форма адреса также меняет задачу. В Ethereum эмитент может проверить баланс токенов контракта на определённом счёте и задействовать любую функцию заморозки, которую допускает контракт. В Bitcoin транзакция расходует конкретные выходы; нет администратора токенов в стиле USDC, который мог бы изменить возможность расходования нативного биткоина. На бирже релевантной информацией может быть атрибуция депозита во внутреннем реестре самой биржи, которую внешний аналитик не может вывести только из публичного адреса кошелька. При кросс-чейн свопе входящий и исходящий адреса могут различаться, поскольку хранилище получает первый актив и подписывает вторую часть на указанный пункт назначения.

Предположим, следователи выявили кражу перевода USDT в TRON и уведомили эмитента. Заморозка до того, как этот баланс будет конвертирован, может удержать конкретный токен. Если он уже стал ETH, действие с USDT может заблокировать только то, что осталось. Если ETH попадает в хранилище THORChain, пауза сети может прервать ожидающий своп, но также может остановить несвязанный трафик; фильтру адресов потребуются надёжные критерии для распознавания депозита и правила для решения, что с ним делать. Если BTC уже покинул хранилище, возможность остановить конкретную исходящую часть упущена. Это иллюстративная последовательность, а не реконструкция каждого перевода Bitget.

Такая последовательность придаёт особое значение временным меткам. Полезная публичная запись должна показывать, когда Bitget впервые пометил адрес, когда соответствующий сервис получил уведомление, когда средства туда прибыли, когда была транслирована исходящая транзакция и когда вступила в силу любая заморозка. Позднее предупреждение отличается от отказа сервиса выполнить своевременный запрос. Без этих времён обвинения в том, что названный оператор «пропустил средства», могут подразумевать знание и контроль, которые запись не показала.

Ошибки в адресах тоже имеют свою цену. Кто-то может получить небольшой перевод от злоумышленника без согласия. Пул может смешивать балансы многих участников. Многоразовый адрес для депозита может представлять кастодиальный сервис, а не отдельного клиента. Чем более автоматизирован фильтр, тем более явными должны быть его правила и процесс проверки. Остановка может быть грубой, но чёрный список, который можно изменить без доказательств или возможности обжалования, — это другой вид операционного риска.

Запрос — это не судебный приказ и не голосование протокола

Публичный запрос Чена — это обращение к сообществу THORChain, а не судебный запрет и не изменение параметров сети. Он может предупредить узлы и интерфейсы о списке адресов. Он может побудить независимый сервис отказаться от взаимодействия. Он не даёт Bitget автоматически полномочий над набором валидаторов THORChain. Сеть, со своей стороны, может выбрать, как ответить, через свои существующие процессы управления и программного обеспечения, с учётом применимого права и практических ограничений своей архитектуры.

Спор о безопасности блокчейна не следует сводить к утверждению «да или нет» о децентрализации. Децентрализованная сеть всё ещё может иметь переключатели для чрезвычайных ситуаций. Система с аварийными переключателями всё ещё может не иметь единого оператора, который может надёжно отфильтровать конкретный адрес в каждой транзакции. Контроль разделён между программными правилами, координацией узлов, подписью хранилища и интерфейсами. Называть всё это либо полностью безразрешительным, либо полностью контролируемым — значит пропускать фактический вопрос.

Для следователей публичный список адресов — это только начало. Им нужно отличить доказанный адрес злоумышленника от адреса депозита сервиса, получившего смешанные средства, отследить конвертации активов и сохранить цепочку доказательств с временными метками. Затем платформе или эмитенту нужно решить, есть ли у них техническая возможность и правовое основание действовать. Общее заявление о том, что средства «заморожены», нуждается в знаменателе, активе, местоположении и дате, чтобы означать что-то измеримое.

Планируемое Bitget поэтапное возобновление выводов начиная с 28 сентября — это отдельное решение, касающееся его обслуживания клиентов и безопасности кошелька. Оно не зависит от того, удовлетворит ли THORChain запрос. Биржа заявляет, что Mandiant и SlowMist помогают её расследованию и что уязвимость была исправлена. Её график определял сначала BTC, затем ETH, USDT и другие сервисы до 2 октября. Статус каждого этапа следует проверять по актуальным уведомлениям биржи, поскольку опубликованный график не является доказательством того, что данный перевод успешно выполнен.

Решающим числом будут возвращённые активы, а не заявленные блокировки

Bitget предлагает вознаграждение в 5% за правомерную заморозку и ещё 5% за правомерное возвращение. Сама эта структура признаёт две стадии. Замороженный баланс у эмитента токенов может оставаться предметом расследования, тогда как возвращённый баланс возвращается или иным образом обеспечивается для законного владельца. Публичные панели могут показывать подозрительные адреса и балансы токенов, не устанавливая законного права собственности или хранения активов. Компания может заявлять, что клиентские счета целы, даже если она не вернула внешние активы, используя собственные резервы или фонд защиты.

THORChain может опубликовать предложение о выборочной проверке адресов, сохранить существующие аварийные инструменты или отклонить любой новый контроль. Заявление от 28 сентября фиксирует его текущую позицию. Изменение политики потребует деталей кода и управления, чтобы показать, кто решает, какие адреса запрещены, и как отменяется ложное совпадение. Полная остановка цепочки была бы видна через статус сети и затронула бы обычных пользователей, но она не обязательно вернула бы уже выплаченные средства.

Более ограниченный результат уже виден: эмитенты заморозили примерно 318 013 долларов в именных долларовых токенах против оценки Bitget в 387,5 миллиона долларов переведённых средств. Это соотношение может вырасти по мере действий других эмитентов или бирж, или оказаться лишь небольшой частью более широкого возврата, который биржа ещё не подсчитала. Имеющиеся на 28 сентября доказательства не поддерживают ни утверждение, что никто не может вмешаться, ни утверждение, что кросс-чейн маршрут можно полностью закрыть для атакующего.

Независимо проверяемый счёт возврата перечислял бы активы по цепочкам, сумму первоначально перемещённых средств, сумму замороженных средств, сумму фактически возвращённых средств и дату оценки. Пока этого не существует, наиболее ясным тестом силы каждого участника является зафиксированное вмешательство в конкретной точке контроля с последующим доказательством того, что целевые средства её не покинули.

На что обратить внимание

• Настройки сети THORChain. Проверьте, действительно ли появляется предложение об остановке сети, остановке подписей или новый адресный скрининг.
• Обновления трассировки Bitget. Пересмотренная общая сумма и постатейный учёт замороженных или возвращённых активов заменят сегодняшний частичный учёт.
• Заморозки эмитентов. Действия Circle и Tether можно учитывать отдельно от свопов, остановленных в других местах.
• Записи об исходящих свопах. Транзакция в очереди, возвращённая и завершённая подразумевают совершенно разные возможности для вмешательства.
• Уведомления о выводах. Подтвердите поэтапное возобновление работы Bitget по актуальному статусу платформы до 2 октября.

Часто задаваемые вопросы