Гаманець, пов’язаний з хакером Bitget, обміняв близько 6,3 мільйона доларів в ETH на Bitcoin через THORChain після того, як мережа відхилила запит біржі заблокувати адреси, пов’язані з її зломом 24 вересня.
Резюме
- Гаманець здійснив 27 обмінів, конвертувавши близько 2 390 ETH у 75,2 BTC.
- Bitget попросив THORChain відмовити в транзакціях з адрес, які він ідентифікував як такі, що належать зловмиснику.
- THORChain заявив, що його екстрені засоби контролю можуть зупинити активність мережі, але не можуть заморозити окремий обмін.
- Bitget підвищив свою оцінку активів, переказаних на адреси, контрольовані зловмисником, до 387,5 мільйона доларів.
Згідно з оглядом CoinDesk записів транзакцій THORChain, 27 завершених обмінів надіслали всі 75,2 BTC на одну адресу отримувача. Замовлення надходили з гаманця Ethereum, який блокчейн-трекер Lookonchain ідентифікував як частину активності зловмисника. Ще чотири транзакції із загальною сумою 400 ETH були в очікуванні, коли CoinDesk переглядав записи.
Гаманець, пов’язаний з Bitget, конвертує ETH у 27 обмінах
Подані приблизно між 03:55 та 06:23 UTC у понеділок, більшість замовлень стосувалися близько 100 ETH кожне. CoinDesk оцінив кожну партію приблизно в 265 000 доларів за цінами, використаними в його огляді. Завершені транзакції обміняли приблизно 2 390 ETH на 75,2 BTC; 400 ETH, що очікували, були окремими від цієї суми.
Записи також показали обмеження на те, що гаманець міг обміняти за обраними цінами. Два замовлення по 100 ETH були виконані лише частково, оскільки частини не відповідали мінімальній ціні, встановленій для торгівлі. Близько 114 ETH було повернуто на гаманець-відправник, згідно з оглядом CoinDesk.
THORChain дозволяє користувачеві обмінювати активи, що зберігаються на різних блокчейнах, без надсилання їх через централізовану біржу. У транзакціях понеділка ETH надійшли в мережу обміну, а BTC пішли на адресу в мережі Bitcoin. Обидві сторони переказу залишаються видимими в публічних блокчейнах, що дозволяє слідчим відстежувати записані рухи, навіть якщо активи змінили ланцюг.
Окремий маршрут уже помістив Bitcoin, пов’язаний з Bitget, у транзакцію конфіденційності. 27 вересня фірма з блокчейн-комплаєнсу AMLBot відстежила близько чотирьох BTC до раунду Wasabi CoinJoin після того, як кошти перемістилися з TRON на Ethereum, а потім через THORChain. AMLBot заявила, що її відстеження пов’язало Bitcoin з гаманцем TRON, пов’язаним з Bitget. CoinJoin об’єднує входи та виходи від кількох користувачів в одній транзакції, що ускладнює встановлення прямого збігу між ними.
THORChain каже, що зупинка не може бути націлена на одну адресу
Генеральний директор Bitget Грейсі Чен попросила THORChain протягом вихідних відмовити в обслуговуванні адрес, які біржа опублікувала та відстежувала. У своєму дописі в X вона стверджувала, що мережа повинна діяти щодо ідентифікованих коштів:
“Децентралізація — це принцип дизайну, а не щит для сприяння відомим викраденим коштам.”
THORChain відхилив запит на блокування конкретної адреси. У своїй публічній відповіді команда заявила, що зупинка мережі є екстреним інструментом для захисту протоколу і “не є вибірковою заморозкою конкретних коштів або окремого обміну.” �її засоби контролю можуть зупинити обміни по всій мережі або обмежити активність на підключеному блокчейні, за словами команди, але будь-яка дія також перерве транзакції від інших користувачів.
Фірма з безпеки GoPlus оскаржила звіт THORChain про його доступні засоби контролю. Як повідомлялося 27 вересня, фірма вказала на голосування валідаторів, засоби контролю підпису та паузи для конкретних ланцюгів, описані в документації THORChain. GoPlus стверджувала, що ці механізми дають операторам вузлів способи втручання, коли кошти під загрозою. THORChain наполягає, що його екстрена зупинка захищає саму мережу і не слугує чорним списком для конкретних гаманців.
Мережа використала свої екстрені засоби контролю після того, як зловмисник взяв близько 10,7 мільйона доларів зі сховища THORChain у травні. Оператори зупинили активність, поки розробники виправляли вразливість, і торгівля відновилася в червні після приблизно п’яти тижнів. THORChain заявив, що адреси травневого зловмисника не були індивідуально занесені до чорного списку.
Bitget підвищує оцінку збитків від злому та пропонує винагороди за відновлення
Спочатку Bitget оцінив активи, постраждалі від злому 24 вересня, приблизно в $351,6 млн. Після врахування активів Zcash і TRON, пропущених у початковому розрахунку, біржа підвищила вартість коштів, переказаних на адреси, контрольовані зловмисником, до приблизно $387,5 млн. Bitget заявила, що це збільшення стало результатом повнішого перегляду початкового інциденту, а не додаткового викрадення після злому.
Біржа виявила несанкціоновані перекази о 18:31 UTC 24 вересня та призупинила виведення коштів на час розслідування. Bitget заявила, що її холодні гаманці залишилися в безпеці. У пізнішому оновленні біржа повідомила, що слідчі знайшли та усунули вразливість, тоді як Mandiant і SlowMist допомагали з розслідуванням і перевірками безпеки. Bitget не оприлюднила повного публічного звіту про те, як зловмисник проник у її системи.
Згодом Чен оголосив програму винагород за відновлення з окремими винагородами у 5% за відповідні зусилля, спрямовані на заморожування викрадених активів та їх повернення. Bitget опублікувала основні адреси зловмисника в мережах, сумісних з Ethereum, XRP Ledger, Zcash і TRON, разом із панеллю відстеження подальших рухів коштів. Біржа заявила, що визначатиме право на участь і виплати на основі внеску кожного учасника; робота, виконана за судовим наказом або запитом правоохоронних органів, не дає права на винагороду.
Для американських читачів: зусилля з відновлення включають Circle, американського емітента USDC. Bitget заявила, що Circle заморозила 99 990 USDC, пов'язаних з атакою, тоді як Tether заморозив 218 023 USDT. Ці заморожування токенів стосувалися ідентифікованих балансів стейблкоїнів; відповідь THORChain стосувалася окремого запиту Bitget зупинити обміни ETH на BTC. Bitget також обговорювала майбутній бізнес у США, причому Чен у липні заявив, що біржа шукатиме ліцензії та дозволи, перш ніж пропонувати послуги американцям.
Виведення Bitcoin очолює поетапне відновлення роботи Bitget
Bitget встановила поетапний графік виведення коштів після перевірок безпеки. Згідно з опублікованим графіком, виведення Bitcoin у мережі Bitcoin мало відновитися о 08:00 UTC 28 вересня. Виведення ETH у мережах Ethereum, BNB Smart Chain, Arbitrum, Base та Optimism було заплановано на той самий час 29 вересня.
Графік передбачав виведення USDT у мережах Ethereum, BNB Smart Chain, Solana та TRON о 08:00 UTC 30 вересня. Bitget віднесла інші токени, фіатні послуги та однорангові транзакції до завершального етапу, запланованого на 2 жовтня. Біржа закликала клієнтів перевіряти її офіційні повідомлення для підтвердження доступності кожної послуги.
