Взлом Bitget вызвал споры о дизайне THORChain без разрешений

Bitget отслеживает украденные активы совместно с компаниями по кибербезопасности, постепенно восстанавливая вывод средств после взлома 24 сентября.

THORChain заявила, что возможность сети останавливаться в чрезвычайных ситуациях является механизмом безопасности, предназначенным для защиты протокола, и не равнозначна системе выборочной заморозки отдельных адресов, согласно её ответу на критику в связи с атакующим Bitget.

THORChain отвергает призывы заблокировать адреса атакующего на Bitget

Спор начался после того, как генеральный директор Bitget Грейси Чен заявила 26 сентября, что адреса, связанные с атакующим, были публично идентифицированы и активно отслеживаются.

Bitget официально попросила THORChain отказать в обработке транзакций с этих адресов, пока следователи продолжают отслеживать средства, перемещённые после взлома 24 сентября.

«Децентрализация — это принцип проектирования, а не щит для содействия перемещению известных украденных средств», — сказала Чен. «Индустрия наблюдает».

Изначально Bitget оценила стоимость активов, затронутых взломом, в $351,6 млн, а затем повысила эту цифру примерно до $387,5 млн после того, как расследование выявило дополнительные транзакции в Zcash и TRON.

Биржа сообщила, что несанкционированные переводы затронули активы в Ethereum и нескольких EVM-сетях, XRP Ledger, Zcash и TRON. Среди затронутых активов были XRP, ETH, USDT, ZEC, USDC, BNB, AVAX и TRX.

Часть украденных средств с тех пор была перемещена между цепями. AMLBot отследил примерно 4 BTC, связанных с взломом, в раунд Wasabi CoinJoin после того, как активы переместились из TRON через USDT0, Ethereum и THORChain, прежде чем достигли Bitcoin.

THORChain отвергла призывы остановить переводы, указав на свою безразрешительную структуру. Протокол сравнил свою роль с такими сетями, как Bitcoin, Ethereum и BNB Chain, и задал вопрос, какую ответственность должны нести эти сети, когда они обрабатывают транзакции с известными украденными активами.

В своём последнем ответе было проведено различие между экстренной остановкой сети и выборочным отказом в обработке транзакций с отдельных адресов. THORChain утверждала, что механизмы экстренного отключения существуют для защиты самого протокола и не эквивалентны чёрному списку, который можно применять к отдельным пользователям.

Компании по кибербезопасности ставят под сомнение аргумент THORChain о децентрализации

GoPlus Security оспорила это объяснение 27 сентября, утверждая, что архитектура THORChain даёт её набору валидаторов полномочия, отличные от тех, что доступны участникам Bitcoin и Ethereum.

Компания по кибербезопасности указала на систему хранилищ с пороговыми подписями THORChain, в рамках которой активный набор валидаторов коллективно контролирует хранилища и подписывает исходящие транзакции.

GoPlus утверждала, что узлы THORChain могут останавливать активность через документированные механизмы паузы, остановки каждой цепи и скоординированные голосования. Фирма противопоставила эту схему Bitcoin и Ethereum, где пользователи владеют собственными приватными ключами, а валидаторы не хранят коллективно активы в хранилищах протокола.

THORChain продемонстрировала способность останавливать функции сети во время собственного инцидента безопасности ранее в этом году.

Эксплойт 15 мая вывел примерно $10,7 млн из одного из пяти хранилищ протокола после того, как злонамеренный оператор узла использовал уязвимость в схеме пороговой подписи GG20. Автоматические проверки платёжеспособности обнаружили дисбаланс и остановили подписание и торговлю в нескольких цепях, прежде чем операторы узлов скоординировали дальнейшие меры по отключению.

Позднее протокол подвергся критике за исправление схемы GG20 после предложения сохранить исправленную версию системы подписей вместо немедленной замены.

Впоследствии THORChain представила версию 3.19.0 в рамках плана перезапуска из 11 шагов. Обновление включало карантин скомпрометированных хранилищ и временные проверки долей ключей перед возобновлением подписания и других сетевых сервисов.

Торговля в конечном итоге возобновилась 23 июня после более чем месяца простоя. THORChain сообщила, что хранилища и доли ключей были проверены перед восстановлением свопов, подписания, смены валидаторов и функций поставщиков ликвидности.

GoPlus сослалась на ответ в мае, утверждая, что THORChain не следует напрямую сравнивать свою операционную модель с Bitcoin и Ethereum при обсуждении возможности остановки транзакций.

Сторонники THORChain оспаривают сравнение

Майкл Перклин, давний руководитель в сфере криптобезопасности и сторонник THORChain, отверг сравнение GoPlus Security, утверждая, что пороговое подписание не означает, что операторы узлов индивидуально одобряют транзакции.

Перклин сказал, что свопы THORChain не следует описывать как активные решения о подписании транзакций, при которых люди выбирают, одобрять ли отдельные переводы. Согласно его объяснению, операторы узлов участвуют в автоматизированном сетевом процессе и могут прекратить участие, отключив свои узлы.

Он сравнил эту возможность с майнерами Bitcoin или валидаторами Ethereum, выключающими свои машины, чтобы не обрабатывать транзакции.

«Во всех трёх нет активного выбора подписывать, есть только активный выбор выключить машину», — сказал Перклин.

Остановка инфраструктуры для предотвращения преступных транзакций одновременно остановила бы и законные транзакции, утверждал он. Перклин описал Bitcoin, Ethereum и THORChain как нейтральной публичной инфраструктурой, операторов которой не следует винить за действия людей, использующих её.

Разногласие последовало за более ранним спором, связанным с THORChain и украденными активами из взлома Bybit в 2025 году. Атакующие активно использовали протокол при конвертации украденного Ether в Bitcoin, при этом THORChain зафиксировала объём торговли в $2,91 млрд и примерно $3 млн комиссионного дохода от этой активности.

Один из основных разработчиков THORChain позже покинул проект после того, как предложение заблокировать транзакции, связанные с атакующим на Bybit, не получило поддержки операторов узлов.

Bitget продолжает отслеживать украденные средства

Запрос Bitget поступил в то время, когда биржа работает с компаниями по кибербезопасности и другими криптокомпаниями для отслеживания и возврата активов после взлома 24 сентября.

Чен запустила программу вознаграждения за возврат, предлагая 5% за действия, которые успешно замораживают украденные активы, и ещё 5% за возвращённые средства. Circle и Tether заморозили примерно $318 000 в USDC и USDT, связанных с инцидентом, по состоянию на 26 сентября.

Bitget сообщила, что расследование показало, что атакующий скомпрометировал критическую внутреннюю систему в инфраструктуре кошелька и использовал её для запуска несанкционированных переводов. Биржа заявила, что приватные ключи не были скомпрометированы, а её холодные кошельки и отдельный продукт Bitget Wallet не пострадали.

Независимые фирмы по кибербезопасности Mandiant и SlowMist поддерживают расследование и усилия по отслеживанию средств.

Тем временем биржа начала поэтапно восстанавливать вывод средств после выявления и устранения уязвимости. Вывод Bitcoin планировалось возобновить 28 сентября, затем ETH — 29 сентября и USDT — 30 сентября, а другие токены, фиатные и пиринговые сервисы — 2 октября.