Le pirate de Bitget déplace 6,3 millions de dollars en Bitcoin après le refus de THORChain de geler les fonds

Un portefeuille lié au pirate de Bitget a échangé environ 6,3 millions de dollars en ETH contre du Bitcoin via THORChain, après que le réseau a rejeté la demande de la plateforme d'échange de bloquer les adresses liées à la violation du 24 septembre.

Selon l'examen des enregistrements de transactions de THORChain par CoinDesk, les 27 échanges effectués ont envoyé la totalité des 75,2 BTC vers une seule adresse de réception. Les ordres provenaient d'un portefeuille Ethereum que l'outil de suivi de blockchain Lookonchain avait identifié comme faisant partie de l'activité de l'attaquant. Quatre transactions supplémentaires impliquant un total de 400 ETH étaient en attente lorsque CoinDesk a examiné les enregistrements.

Un portefeuille lié à Bitget convertit de l'ETH en 27 échanges

Soumis entre environ 03 h 55 et 06 h 23 UTC lundi, la plupart des ordres portaient sur environ 100 ETH chacun. CoinDesk a évalué chaque lot à environ 265 000 dollars aux prix utilisés dans son examen. Les transactions effectuées ont échangé environ 2 390 ETH contre 75,2 BTC ; les 400 ETH en attente étaient distincts de ce total.

Les enregistrements ont également montré des limites sur ce que le portefeuille pouvait échanger aux prix choisis. Deux ordres de 100 ETH n'ont été que partiellement exécutés car certaines parties ne respectaient pas le prix minimum fixé pour l'échange. Environ 114 ETH ont été renvoyés au portefeuille d'envoi, selon l'examen de CoinDesk.

THORChain permet à un utilisateur d'échanger des actifs détenus sur différentes blockchains sans passer par une plateforme d'échange centralisée. Dans les transactions de lundi, l'ETH est entré dans le réseau d'échange et le BTC est allé vers une adresse sur le réseau Bitcoin. Les deux côtés du transfert restent visibles sur les blockchains publiques, ce qui permet aux enquêteurs de suivre les mouvements enregistrés même si les actifs ont changé de chaîne.

Une autre voie avait déjà placé du Bitcoin lié à Bitget dans une transaction de confidentialité. Le 27 septembre, l'entreprise de conformité blockchain AMLBot a tracé environ quatre BTC dans un cycle CoinJoin Wasabi après que les fonds ont été déplacés de TRON vers Ethereum, puis via THORChain. AMLBot a déclaré que son traçage reliait le Bitcoin à un portefeuille TRON associé à Bitget. CoinJoin combine les entrées et sorties de plusieurs utilisateurs en une seule transaction, ce qui rend plus difficile l'établissement d'une correspondance directe entre elles.

THORChain affirme qu'un arrêt ne peut pas cibler une seule adresse

La PDG de Bitget, Gracy Chen, a demandé à THORChain pendant le week-end de refuser le service aux adresses que la plateforme d'échange avait publiées et suivait. Dans sa publication sur X, elle a soutenu que le réseau devait agir sur les fonds identifiés :

« La décentralisation est un principe de conception, pas un bouclier pour faciliter les fonds volés connus. »

THORChain a rejeté la demande de blocage spécifique à une adresse. Dans sa réponse publique, l'équipe a déclaré qu'un arrêt du réseau est un outil d'urgence pour protéger le protocole et « n'est pas un gel sélectif de fonds spécifiques ou d'un échange individuel ». Ses contrôles peuvent arrêter les échanges sur l'ensemble du réseau ou restreindre l'activité sur une blockchain connectée, selon l'équipe, mais l'une ou l'autre action interromprait également les transactions des autres utilisateurs.

La société de sécurité GoPlus a contesté le compte rendu de THORChain sur ses contrôles disponibles. Comme rapporté le 27 septembre, la société a souligné les votes des validateurs, les contrôles de signature et les suspensions spécifiques à une chaîne décrits dans la documentation de THORChain. GoPlus a fait valoir que ces mécanismes donnent aux opérateurs de nœuds des moyens d'intervenir lorsque des fonds sont en danger. THORChain maintient que son arrêt d'urgence protège le réseau lui-même et ne sert pas de liste de blocage pour des portefeuilles particuliers.

Le réseau a utilisé ses contrôles d'urgence après qu'un attaquant a pris environ 10,7 millions de dollars dans un coffre-fort THORChain en mai. Les opérateurs ont arrêté l'activité pendant que les développeurs réparaient la vulnérabilité, et les échanges ont repris en juin après environ cinq semaines. THORChain a déclaré que les adresses de l'attaquant de mai n'avaient pas été individuellement mises sur liste noire.

Bitget augmente l'estimation de la violation et offre des récompenses de récupération

Bitget a d'abord évalué les actifs affectés par la violation du 24 septembre à environ 351,6 millions de dollars. Après avoir pris en compte les actifs Zcash et TRON omis de son calcul initial, la plateforme d'échange a porté la valeur transférée vers des adresses contrôlées par l'attaquant à environ 387,5 millions de dollars. Bitget a déclaré que l'augmentation provenait d'un examen plus complet de l'incident initial, plutôt que d'un vol supplémentaire après la violation.

La plateforme d'échange a détecté des transferts non autorisés à 18 h 31 UTC le 24 septembre et a suspendu les retraits pendant son enquête. Bitget a déclaré que ses portefeuilles froids restaient sécurisés. Sa mise à jour ultérieure a indiqué que les enquêteurs avaient trouvé et corrigé la vulnérabilité, tandis que Mandiant et SlowMist aidaient à l'enquête et aux contrôles de sécurité. Bitget n'a pas publié de compte rendu public complet de la manière dont l'attaquant est entré dans ses systèmes.

Chen a ensuite annoncé un programme de récompenses pour la récupération avec des récompenses distinctes de 5 % pour les efforts éligibles qui gèlent les actifs volés et les récupèrent. Bitget a publié les adresses principales de l'attaquant sur les réseaux compatibles Ethereum, XRP Ledger, Zcash et TRON, ainsi qu'un tableau de bord de traçage pour les mouvements ultérieurs. La plateforme d'échange a déclaré qu'elle déciderait de l'éligibilité et des paiements en fonction de la contribution de chaque participant ; le travail effectué dans le cadre d'une ordonnance judiciaire ou d'une demande des forces de l'ordre ne donne pas droit à la prime.

Pour les lecteurs américains, l'effort de récupération inclut Circle, l'émetteur américain de l'USDC. Bitget a déclaré que Circle avait gelé 99 990 USDC liés à l'attaque, tandis que Tether avait gelé 218 023 USDT. Ces gels de jetons concernaient des soldes de stablecoins identifiés ; la réponse de THORChain portait sur la demande distincte de Bitget d'arrêter les échanges ETH-BTC. Bitget a également discuté d'une future activité aux États-Unis, Chen ayant déclaré en juillet qu'elle chercherait à obtenir des licences et des approbations avant d'offrir des services aux Américains.

Les retraits de Bitcoin mènent la réouverture progressive de Bitget

Bitget a établi un calendrier de retraits progressif après les contrôles de sécurité. Selon le calendrier publié, les retraits de Bitcoin sur le réseau Bitcoin devaient rouvrir à 08 h 00 UTC le 28 septembre. Les retraits d'ETH sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism étaient prévus à la même heure le 29 septembre.

Le calendrier plaçait les retraits d'USDT sur Ethereum, BNB Smart Chain, Solana et TRON à 08 h 00 UTC le 30 septembre. Bitget a assigné les autres jetons, les services fiduciaires et les transactions de pair à pair à une étape finale prévue pour le 2 octobre. La plateforme d'échange a demandé aux clients de consulter ses avis officiels pour confirmer que chaque service était disponible.