Хакер Bitget перевел $6,3 млн в биткоины после отказа THORChain заморозить средства

Кошелек, связанный с хакером Bitget, обменял около $6,3 млн в ETH на биткоины через THORChain после того, как сеть отклонила запрос биржи заблокировать адреса, связанные со взломом 24 сентября.

Согласно анализу записей транзакций THORChain, проведенному CoinDesk, 27 завершенных обменов отправили все 75,2 BTC на один адрес получателя. Ордера поступили с Ethereum-кошелька, который блокчейн-трекер Lookonchain идентифицировал как часть активности злоумышленника. Еще четыре транзакции на общую сумму 400 ETH находились в ожидании на момент проверки записей CoinDesk.

Кошелек, связанный с Bitget, конвертирует ETH в 27 обменах

Ордера, поданные примерно с 03:55 до 06:23 UTC в понедельник, в основном касались около 100 ETH каждый. CoinDesk оценил каждую партию примерно в $265 000 по ценам, использованным при анализе. Завершенные транзакции обменяли примерно 2 390 ETH на 75,2 BTC; ожидающие 400 ETH не входили в эту сумму.

Записи также показали ограничения на то, что кошелек мог обменять по выбранным ценам. Два ордера по 100 ETH были исполнены лишь частично, поскольку части не соответствовали минимальной цене, установленной для сделки. Около 114 ETH было возвращено на кошелек отправителя, согласно анализу CoinDesk.

THORChain позволяет пользователю обменивать активы, хранящиеся на разных блокчейнах, без отправки их через централизованную биржу. В транзакциях понедельника ETH поступали в сеть обмена, а BTC отправлялись на адрес в сети биткоина. Обе стороны перевода остаются видимыми в публичных блокчейнах, что позволяет следователям отслеживать зафиксированные перемещения, даже после перехода активов в другую сеть.

Отдельный маршрут уже направил биткоины, связанные с Bitget, в приватную транзакцию. 27 сентября компания по блокчейн-комплаенсу AMLBot отследила около четырех BTC в раунде Wasabi CoinJoin после перемещения средств из TRON в Ethereum, а затем через THORChain. AMLBot заявила, что ее отслеживание связало биткоины с TRON-кошельком, ассоциированным с Bitget. CoinJoin объединяет входы и выходы нескольких пользователей в одной транзакции, что затрудняет установление прямого соответствия между ними.

THORChain заявляет, что остановка не может быть нацелена на один адрес

Генеральный директор Bitget Грейси Чен в выходные попросила THORChain отказать в обслуживании адресам, которые биржа опубликовала и отслеживала. В своем посте в X она утверждала, что сеть должна действовать в отношении идентифицированных средств:

«Децентрализация — это принцип архитектуры, а не щит для содействия перемещению известных украденных средств».

THORChain отклонила запрос на блокировку конкретного адреса. В своем публичном ответе команда заявила, что остановка сети — это экстренный инструмент для защиты протокола и «не является выборочной заморозкой конкретных средств или отдельного обмена». По словам команды, ее средства контроля могут остановить обмены во всей сети или ограничить активность на подключенном блокчейне, но любое из этих действий также прервет транзакции других пользователей.

Компания по безопасности GoPlus оспорила объяснение THORChain о доступных средствах контроля. Как сообщалось 27 сентября, компания указала на голосования валидаторов, механизмы контроля подписания транзакций и паузы для конкретных цепей, описанные в документации THORChain. GoPlus утверждала, что эти механизмы дают операторам узлов способы вмешательства, когда средства находятся под угрозой. THORChain настаивает, что ее экстренная остановка защищает саму сеть и не служит черным списком для конкретных кошельков.

Сеть использовала свои экстренные средства контроля после того, как злоумышленник вывел около $10,7 млн из хранилища THORChain в мае. Операторы остановили активность, пока разработчики устраняли уязвимость, и торги возобновились в июне примерно через пять недель. THORChain заявила, что адреса майского злоумышленника не были индивидуально внесены в черный список.

Bitget повышает оценку ущерба и предлагает вознаграждения за возврат

Первоначально Bitget оценила активы, затронутые взломом 24 сентября, примерно в $351,6 млн. После учета активов Zcash и TRON, упущенных в первоначальном расчете, биржа повысила стоимость, переведенную на контролируемые злоумышленником адреса, до примерно $387,5 млн. Bitget заявила, что увеличение связано с более полным анализом первоначального инцидента, а не с дополнительной кражей после взлома.

Биржа обнаружила несанкционированные переводы в 18:31 UTC 24 сентября и приостановила вывод средств на время расследования. Bitget заявила, что ее холодные кошельки остались в безопасности. В более позднем обновлении говорилось, что следователи нашли и устранили уязвимость, а Mandiant и SlowMist помогают в расследовании и проверках безопасности. Bitget не опубликовала полный публичный отчет о том, как злоумышленник проник в ее системы.

Впоследствии Чен объявила о программе вознаграждений за возврат средств с отдельными наградами в размере 5% за соответствующие усилия по заморозке украденных активов и их возврату. Bitget опубликовала основные адреса злоумышленника в сетях, совместимых с Ethereum, XRP Ledger, Zcash и TRON, а также панель отслеживания дальнейших перемещений. Биржа заявила, что будет определять право на участие и выплаты на основе вклада каждого участника; работа, выполненная по судебному постановлению или запросу правоохранительных органов, не подпадает под условия вознаграждения.

Для читателей из США в усилиях по возврату участвует Circle, американский эмитент USDC. Bitget сообщила, что Circle заморозила 99 990 USDC, связанных с атакой, а Tether заморозил 218 023 USDT. Эти заморозки токенов касались идентифицированных балансов стейблкоинов; ответ THORChain касался отдельного запроса Bitget остановить обмены ETH на BTC. Bitget также обсуждала будущий бизнес в США, и Чен заявила в июле, что биржа будет добиваться лицензий и разрешений, прежде чем предлагать услуги американцам.

Вывод биткоинов возглавляет поэтапное возобновление работы Bitget

Bitget установила поэтапный график вывода средств после проверок безопасности. Согласно опубликованному расписанию, вывод биткоинов в сети биткоина должен был возобновиться в 08:00 UTC 28 сентября. Вывод ETH в сетях Ethereum, BNB Smart Chain, Arbitrum, Base и Optimism был запланирован на то же время 29 сентября.

График предусматривал вывод USDT в сетях Ethereum, BNB Smart Chain, Solana и TRON в 08:00 UTC 30 сентября. Bitget отнесла другие токены, фиатные услуги и одноранговые транзакции к финальному этапу, запланированному на 2 октября. Биржа рекомендовала клиентам проверять официальные уведомления для подтверждения доступности каждой услуги.