Hacker de Bitget mueve $6.3 millones a Bitcoin tras rechazo de THORChain

Una billetera vinculada al hacker de Bitget ha intercambiado aproximadamente $6.3 millones en ETH por Bitcoin a través de THORChain después de que la red rechazara la solicitud del exchange de bloquear direcciones relacionadas con la brecha del 24 de septiembre.

Según la revisión de CoinDesk de los registros de transacciones de THORChain, los 27 intercambios completados enviaron los 75.2 BTC a una única dirección receptora. Las órdenes provinieron de una billetera de Ethereum que el rastreador de blockchain Lookonchain había identificado como parte de la actividad del atacante. Cuatro transacciones más, que involucraban un total de 400 ETH, estaban pendientes cuando CoinDesk revisó los registros.

Billetera vinculada a Bitget convierte ETH en 27 intercambios

Presentadas aproximadamente entre las 03:55 y las 06:23 UTC del lunes, la mayoría de las órdenes involucraban alrededor de 100 ETH cada una. CoinDesk valoró cada lote en aproximadamente $265,000 a los precios utilizados en su revisión. Las transacciones completadas intercambiaron aproximadamente 2,390 ETH por 75.2 BTC; los 400 ETH pendientes estaban separados de ese total.

Los registros también mostraron límites en lo que la billetera podía intercambiar a los precios elegidos. Dos órdenes de 100 ETH se completaron solo parcialmente porque porciones no alcanzaron el precio mínimo establecido para la operación. Aproximadamente 114 ETH fueron devueltos a la billetera emisora, según la revisión de CoinDesk.

THORChain permite a un usuario intercambiar activos mantenidos en diferentes blockchains sin enviarlos a través de un exchange centralizado. En las transacciones del lunes, ETH entró en la red de intercambio y BTC fue a una dirección en la red Bitcoin. Ambos lados de la transferencia permanecen visibles en blockchains públicas, lo que permite a los investigadores seguir los movimientos registrados aunque los activos cambiaron de cadena.

Una ruta separada ya había puesto Bitcoin vinculado a Bitget en una transacción de privacidad. El 27 de septiembre, la firma de cumplimiento blockchain AMLBot rastreó aproximadamente cuatro BTC en una ronda de CoinJoin de Wasabi después de que los fondos se movieran de TRON a Ethereum y luego a través de THORChain. AMLBot dijo que su rastreo vinculó el Bitcoin a una billetera TRON asociada a Bitget. CoinJoin combina entradas y salidas de múltiples usuarios en una sola transacción, lo que dificulta establecer una coincidencia directa entre ellas.

THORChain dice que una detención no puede apuntar a una sola dirección

La CEO de Bitget, Gracy Chen, pidió a THORChain durante el fin de semana que rechazara el servicio a las direcciones que el exchange había publicado y estaba rastreando. En su publicación en X, argumentó que la red debería actuar sobre los fondos identificados:

"La descentralización es un principio de diseño, no un escudo para facilitar fondos robados conocidos".

THORChain rechazó la solicitud de un bloqueo específico por dirección. En su respuesta pública, el equipo dijo que una detención de la red es una herramienta de emergencia para proteger el protocolo y "no es una congelación selectiva de fondos específicos o de un intercambio individual". Sus controles pueden detener los intercambios en toda la red o restringir la actividad en una blockchain conectada, según el equipo, pero cualquiera de las acciones también interrumpiría las transacciones de otros usuarios.

La firma de seguridad GoPlus ha cuestionado la versión de THORChain sobre sus controles disponibles. Como se informó el 27 de septiembre, la firma señaló los votos de los validadores, los controles de firma y las pausas específicas por cadena descritas en la documentación de THORChain. GoPlus argumentó que esos mecanismos dan a los operadores de nodos formas de intervenir cuando los fondos están en riesgo. THORChain sostiene que su detención de emergencia protege la red en sí y no sirve como lista de bloqueo para billeteras particulares.

La red utilizó sus controles de emergencia después de que un atacante tomara aproximadamente $10.7 millones de una bóveda de THORChain en mayo. Los operadores detuvieron la actividad mientras los desarrolladores reparaban la vulnerabilidad, y el comercio se reanudó en junio después de aproximadamente cinco semanas. THORChain dijo que las direcciones del atacante de mayo no fueron incluidas individualmente en una lista negra.

Bitget aumenta la estimación de la brecha y ofrece recompensas por recuperación

Bitget valoró inicialmente los activos afectados por la brecha del 24 de septiembre en aproximadamente $351.6 millones. Después de contabilizar los activos de Zcash y TRON omitidos en su cálculo inicial, el exchange elevó el valor transferido a direcciones controladas por el atacante a aproximadamente $387.5 millones. Bitget dijo que el aumento provino de una revisión más completa del incidente original, en lugar de un robo adicional después de la brecha.

El exchange detectó transferencias no autorizadas a las 18:31 UTC del 24 de septiembre y suspendió los retiros mientras investigaba. Bitget dijo que sus billeteras frías permanecieron seguras. Su actualización posterior dijo que los investigadores habían encontrado y corregido la vulnerabilidad, mientras que Mandiant y SlowMist estaban ayudando con la investigación y las verificaciones de seguridad. Bitget no ha publicado un relato público completo de cómo el atacante ingresó a sus sistemas.

Chen anunció posteriormente un programa de recompensas por recuperación con recompensas separadas del 5% para esfuerzos elegibles que congelen activos robados y los recuperen. Bitget publicó las direcciones principales del atacante en redes compatibles con Ethereum, XRP Ledger, Zcash y TRON, junto con un panel de rastreo para movimientos posteriores. El exchange dijo que decidiría la elegibilidad y los pagos según la contribución de cada participante; el trabajo realizado bajo una orden judicial o solicitud de las fuerzas del orden no califica para la recompensa.

Para los lectores estadounidenses, el esfuerzo de recuperación incluye a Circle, el emisor de USDC con sede en EE. UU. Bitget dijo que Circle había congelado 99,990 USDC vinculados al ataque, mientras que Tether había congelado 218,023 USDT. Esas congelaciones de tokens se referían a saldos de stablecoins identificados; la respuesta de THORChain abordó la solicitud separada de Bitget de detener los intercambios de ETH a BTC. Bitget también ha discutido un futuro negocio en EE. UU., y Chen dijo en julio que buscaría licencias y aprobaciones antes de ofrecer servicios a los estadounidenses.

Los retiros de Bitcoin lideran la reapertura por etapas de Bitget

Bitget estableció un cronograma de retiros por fases después de las verificaciones de seguridad. Según el calendario publicado, los retiros de Bitcoin en la red Bitcoin debían reabrirse a las 08:00 UTC del 28 de septiembre. Los retiros de ETH en Ethereum, BNB Smart Chain, Arbitrum, Base y Optimism estaban programados para la misma hora del 29 de septiembre.

El cronograma colocó los retiros de USDT en Ethereum, BNB Smart Chain, Solana y TRON a las 08:00 UTC del 30 de septiembre. Bitget asignó otros tokens, servicios fiduciarios y transacciones entre pares a una etapa final programada para el 2 de octubre. El exchange pidió a los clientes que consultaran sus avisos oficiales para confirmar que cada servicio estuviera disponible.