Hacker da Bitget converte 6,3 milhões de dólares em Bitcoin após THORChain recusar congelamento

Uma carteira ligada ao hacker da Bitget trocou cerca de 6,3 milhões de dólares em ETH por Bitcoin através da THORChain, depois de a rede ter rejeitado o pedido da exchange para bloquear endereços associados à violação de 24 de setembro.

De acordo com a análise da CoinDesk aos registos de transações da THORChain, as 27 trocas concluídas enviaram todos os 75,2 BTC para um único endereço recetor. As ordens partiram de uma carteira Ethereum que o rastreador de blockchain Lookonchain identificou como parte da atividade do atacante. Quatro outras transações, num total de 400 ETH, estavam pendentes quando a CoinDesk analisou os registos.

Carteira ligada à Bitget converte ETH em 27 trocas

Submetidas entre aproximadamente 03:55 e 06:23 UTC de segunda-feira, a maioria das ordens envolvia cerca de 100 ETH cada. A CoinDesk avaliou cada lote em aproximadamente 265.000 dólares aos preços usados na sua análise. As transações concluídas trocaram cerca de 2.390 ETH por 75,2 BTC; os 400 ETH pendentes estavam à parte desse total.

Os registos também mostraram limites sobre o que a carteira podia trocar aos preços escolhidos. Duas ordens de 100 ETH foram apenas parcialmente preenchidas porque partes não atingiram o preço mínimo definido para a negociação. Cerca de 114 ETH foram devolvidos à carteira de envio, segundo a análise da CoinDesk.

A THORChain permite a um utilizador trocar ativos detidos em diferentes blockchains sem os enviar através de uma exchange centralizada. Nas transações de segunda-feira, o ETH entrou na rede de troca e o BTC foi para um endereço na rede Bitcoin. Ambos os lados da transferência permanecem visíveis nas blockchains públicas, permitindo aos investigadores seguir os movimentos registados, mesmo com a mudança de cadeia dos ativos.

Uma rota separada já tinha colocado Bitcoin ligado à Bitget numa transação de privacidade. A 27 de setembro, a empresa de conformidade blockchain AMLBot rastreou cerca de quatro BTC numa ronda CoinJoin da Wasabi, depois de os fundos terem passado de TRON para Ethereum e depois pela THORChain. A AMLBot afirmou que o rastreio ligou o Bitcoin a uma carteira TRON associada à Bitget. O CoinJoin combina entradas e saídas de vários utilizadores numa única transação, dificultando o estabelecimento de uma correspondência direta entre elas.

THORChain diz que uma paragem não pode visar um único endereço

A CEO da Bitget, Gracy Chen, pediu à THORChain no fim de semana que recusasse serviço aos endereços que a exchange tinha publicado e estava a rastrear. Na sua publicação no X, argumentou que a rede deveria agir sobre os fundos identificados:

“A descentralização é um princípio de design, não um escudo para facilitar fundos roubados conhecidos.”

A THORChain rejeitou o pedido de bloqueio específico de endereço. Na sua resposta pública, a equipa disse que uma paragem da rede é uma ferramenta de emergência para proteger o protocolo e “não é um congelamento seletivo de fundos específicos ou de uma troca individual”. Os seus controlos podem parar as trocas em toda a rede ou restringir a atividade numa blockchain ligada, segundo a equipa, mas qualquer ação também interromperia transações de outros utilizadores.

A empresa de segurança GoPlus contestou a descrição da THORChain sobre os controlos disponíveis. Como noticiado a 27 de setembro, a empresa apontou para votações de validadores, controlos de assinatura e pausas específicas por cadeia descritas na documentação da THORChain. A GoPlus argumentou que esses mecanismos dão aos operadores de nós formas de intervir quando os fundos estão em risco. A THORChain mantém que a sua paragem de emergência protege a própria rede e não serve como lista de bloqueio para carteiras específicas.

A rede usou os seus controlos de emergência depois de um atacante ter levado cerca de 10,7 milhões de dólares de um cofre da THORChain em maio. Os operadores pararam a atividade enquanto os programadores reparavam a vulnerabilidade, e a negociação recomeçou em junho, após cerca de cinco semanas. A THORChain disse que os endereços do atacante de maio não foram individualmente colocados em lista negra.

Bitget aumenta estimativa da violação e oferece recompensas de recuperação

A Bitget avaliou inicialmente os ativos afetados pela violação de 24 de setembro em aproximadamente 351,6 milhões de dólares. Depois de contabilizar ativos Zcash e TRON omitidos no cálculo inicial, a exchange elevou o valor transferido para endereços controlados pelo atacante para cerca de 387,5 milhões de dólares. A Bitget disse que o aumento resultou de uma revisão mais completa do incidente original, e não de roubo adicional após a violação.

A exchange detetou transferências não autorizadas às 18:31 UTC de 24 de setembro e suspendeu os levantamentos enquanto investigava. A Bitget disse que as suas carteiras frias permaneceram seguras. A atualização posterior indicou que os investigadores encontraram e corrigiram a vulnerabilidade, enquanto a Mandiant e a SlowMist ajudavam na investigação e nas verificações de segurança. A Bitget não divulgou um relato público completo de como o atacante entrou nos seus sistemas.

Chen anunciou subsequentemente um programa de recompensas de recuperação com prémios separados de 5% para esforços elegíveis que congelem ativos roubados e os recuperem. A Bitget publicou endereços primários do atacante em redes compatíveis com Ethereum, XRP Ledger, Zcash e TRON, juntamente com um painel de rastreio para movimentos posteriores. A exchange disse que decidirá a elegibilidade e os pagamentos com base na contribuição de cada participante; o trabalho realizado ao abrigo de uma ordem judicial ou pedido de aplicação da lei não se qualifica para a recompensa.

Para os leitores dos EUA, o esforço de recuperação inclui a Circle, a emissora norte-americana da USDC. A Bitget disse que a Circle congelou 99.990 USDC ligados ao ataque, enquanto a Tether congelou 218.023 USDT. Esses congelamentos de tokens diziam respeito a saldos de stablecoins identificados; a resposta da THORChain abordou o pedido separado da Bitget para parar as trocas de ETH para BTC. A Bitget também discutiu um futuro negócio nos EUA, com Chen a afirmar em julho que procuraria licenças e aprovações antes de oferecer serviços aos americanos.

Levantamentos de Bitcoin lideram reabertura faseada da Bitget

A Bitget definiu um calendário faseado de levantamentos após as verificações de segurança. De acordo com o calendário publicado, os levantamentos de Bitcoin na rede Bitcoin deveriam reabrir às 08:00 UTC de 28 de setembro. Os levantamentos de ETH em Ethereum, BNB Smart Chain, Arbitrum, Base e Optimism estavam agendados para a mesma hora de 29 de setembro.

O calendário colocou os levantamentos de USDT em Ethereum, BNB Smart Chain, Solana e TRON às 08:00 UTC de 30 de setembro. A Bitget atribuiu outros tokens, serviços fiduciários e transações peer-to-peer a uma fase final agendada para 2 de outubro. A exchange pediu aos clientes que consultassem os seus avisos oficiais para confirmação de que cada serviço estava disponível.