Ang ilang asset na konektado sa Bitget security breach ay pumasok na sa Wasabi CoinJoin matapos ilipat sa ilang blockchain at swap route, ayon sa blockchain compliance firm na AMLBot.

Sinabi ng AMLBot noong Set. 27 na iniugnay ng tracing nito ang humigit-kumulang 4 BTC sa isang CoinJoin round sa mga pondong nagmula sa isang TRON wallet na konektado sa Bitget. Inilarawan ng kompanya ang aktibidad bilang isang malinaw na tangkang pagtakpan ang galaw ng mga ninakaw na asset.

Dumating ang natuklasang ito matapos baguhin ng Bitget ang halaga ng mga asset na nailipat sa mga address na kontrolado ng attacker sa humigit-kumulang $387.5 milyon. Sinabi sa opisyal na update ng imbestigasyon ng exchange na kasama sa bagong kabuuan ang mga Zcash at TRON asset na hindi naisama sa paunang tantiya nitong $351.6 milyon.

Dumaan ang pondo ng Bitget sa apat na network bago ang CoinJoin

Na-trace ng AMLBot ang isang multi-stage na ruta na nagsimula sa TRON. Ayon sa salaysay ng kompanya, unang kinonvert ng attacker ang TRX sa USDT. Pagkatapos, inilipat ang mga pondo sa Ethereum sa pamamagitan ng USDT0, isang omnichain na bersyon ng Tether na dinisenyo para sa paglilipat sa pagitan ng mga suportadong network.

Pagdating sa Ethereum, na-swap ang mga asset sa humigit-kumulang 145 ETH. Sinabi ng AMLBot na ang ETH ay kalaunang dumaan sa THORChain at nakonvert sa humigit-kumulang 4.59 BTC.

Pagkatapos ay hinati ang Bitcoin sa mas maliliit na halaga bago ito umabot sa isang Wasabi CoinJoin round. Sinabi ng AMLBot na naiuugnay ng analysis nito ang humigit-kumulang 4 BTC sa transaksyong iyon pabalik sa Bitget TRON wallet.

Pinagsasama ng CoinJoin ang mga Bitcoin input at output mula sa maraming kalahok sa iisang transaksyon. Mas pinahihirap ng teknikang ito ang pag-trace ng mga transaksyon dahil hindi basta-bastang maitutugma ng mga blockchain observer ang isang input sa isang katumbas na output.

Inilarawan ng AMLBot ang aktibidad bilang laundering sa pamamagitan ng Wasabi CoinJoin at sinabing inilagay nito sa blacklist ang mga kaugnay na address. Patuloy na mino-monitor ng kompanya ang Bitcoin para sa karagdagang CoinJoin activity.

Nananatiling batay ang attribution sa blockchain analysis ng AMLBot. Ipinapakita ng mga pampublikong blockchain record ang mga transfer sa pagitan ng mga address, swaps, at cross-chain activity, ngunit ang layunin ng bawat transaksyon ay hinuhugot lamang mula sa naobserbahang flow at address attribution.

Inulit ng isang buod ng Binance News na inilathala noong Set. 27 ang kaparehong pagkakasunod-sunod, na tumutukoy sa mga ulat batay sa tracing ng AMLBot.

Itinaas ng Bitget ang kumpirmadong pagkalugi sa $387.5 milyon

Una nang sinabi ng Bitget na naapektuhan ng insidente noong Set. 24 ang humigit-kumulang $351.6 milyon na asset matapos ang mga hindi awtorisadong transfer mula sa ilang bahagi ng hot at warm wallet infrastructure nito.

Natukoy ng exchange ang aktibidad sa 18:31 UTC at sinuspinde ang withdrawals habang nanatiling gumagana ang deposits at trading. Nananatiling ligtas ang cold wallets, ayon sa paunang security notice ng Bitget.

Pagsapit ng Set. 25, itinaas ng transaction classification ng Bitget ang kumpirmadong halaga sa humigit-kumulang $387.5 milyon. Sinabi ng exchange na ang pagtaas ay hindi dulot ng mga bagong pagnanakaw matapos ang breach. Sa halip, natukoy ng mga investigator ang karagdagang Zcash at TRON assets na kasama sa orihinal na insidente.

Kabilang sa mga apektadong asset ang ETH, XRP, USDT, USDC, USDT0, ZEC, XAUt, BNB, AVAX at TRX. Inilathala ng Bitget ang mga pangunahing address na kontrolado ng attacker sa mga Ethereum-compatible network, XRP Ledger, Zcash at TRON bilang bahagi ng recovery work nito.

Itinuro ng paunang findings ng Bitget ang isang kompromiso na kinasasangkutan ng backend wallet infrastructure sa halip na pagtagas ng private keys. Sinabi ni CEO Gracy Chen na nanatiling secure ang private keys habang sinisikap ng mga investigator na tukuyin ang eksaktong intrusion path.

Kinalaunan ay sinabi ng Bitget na natukoy ng security team nito ang attack path at ang paraang ginamit upang ma-bypass ang umiiral na mga kontrol. Sinabi ng kompanya na naayos na ang pinagbabatayang vulnerability, bagaman hindi pa ito naglalabas sa publiko ng kumpletong technical root-cause report na nagdedetalye sa exploit.

Sabi ng AMLBot, karamihan sa mga ninakaw na asset ay nananatiling hindi gumagalaw

Ang CoinJoin activity ay kumakatawan lamang sa maliit na bahagi ng mga pondong konektado sa breach.

Sa isang update noong Set. 25, sinabi ng AMLBot na humigit-kumulang $343 milyon, na kumakatawan sa nasa 88% ng humigit-kumulang $389 milyon na tina-track nito, ang hindi pa gumagalaw. Ang bilang ng kompanya ay nakabatay sa mga address na iniugnay nito sa attacker.

Natukoy ng AMLBot ang 13 dormant wallet na may hawak na iba’t ibang uri ng asset. Ang walong Ethereum wallet ay may humigit-kumulang 68,300 ETH, habang ang apat na XRP address ay may hawak na nasa 83 milyong XRP. Ang isa pang wallet ay may halos 18,900 ZEC.

Sinabi ng kompanya na wala ni isa sa 13 address na iyon ang nagpadala ng transaksyon mula nang matanggap ang mga pondo. Ang kasunod nitong Wasabi update ay tumutukoy sa ibang bahagi ng mga ninakaw na asset na nagsimula nang gumalaw sa pagitan ng iba’t ibang chain at asset.

May iba pang researcher na nag-trace ng hiwalay na conversion activity. Iniulat ng Crypto.news noong Set. 25 na natukoy ng security researcher na si Taylor Monahan ang ninakaw na USDC na inilipat at kinonvert sa ETH matapos ang attack.

Ipinakita ng kanyang findings na ang mga asset na kontrolado ng attacker ay bina-bridge at sini-swap matapos umalis sa Bitget. Binanggit sa ulat na maaaring i-freeze ng Circle ang USDC sa mga tinukoy na address kapag natugunan ang mga legal na rekisito, bagaman hindi pinatutunayan ng pampublikong transaction trail kung nakarating na sa Circle ang isang kwalipikadong legal order sa panahong iyon.

Ipinapakita ng kasunod na tracing ng AMLBot ang isa pang bahagi ng daloy na tumawid mula TRON patungong Ethereum at pagkatapos ay papasok sa Bitcoin sa pamamagitan ng THORChain bago pumasok sa CoinJoin.

Naghahanda ang Bitget para sa phased reopening ng withdrawals

Naghahanda ang Bitget na ibalik ang withdrawal services matapos nitong sabihing na-remediate na ang vulnerability na responsable sa insidente.

Nagsisimula ang withdrawal schedule ng exchange sa Bitcoin sa 08:00 UTC sa Set. 28. Ang ETH withdrawals sa Ethereum, BSC, Arbitrum, Base at Optimism ay nakatakda sa Set. 29.

Ang USDT withdrawals sa Ethereum, BSC, Solana at TRON ay nakatakdang magpatuloy sa Set. 30. Ang ibang token withdrawals, fiat services at peer-to-peer withdrawals ay inaasahang babalik sa Okt. 2.

Sinabi ng Bitget na patuloy na tumutulong ang Mandiant at SlowMist sa security investigation habang nagsasagawa ang mga technical team nito ng validation work sa withdrawal infrastructure.

Tulad ng iniulat ng crypto.news hinggil sa reopening plan, sinabi ng Bitget na sasagutin ng Protection Fund nito ang pinansyal na pagkalugi mula sa insidente at mananatiling hindi nagbabago ang mga balanse ng customer account. Iniulat ng exchange na ang pondo ay may hawak na mahigit $464 milyon sa panahon ng withdrawal pause.

Ipinakita ng proof-of-reserves update ng Bitget para sa Setyembre, na inilathala bago ang breach, ang kabuuang reserve ratio na 135% sa 19 saklaw na asset. Sinasabi ng exchange na pinananatili nito ang hindi bababa sa 1:1 reserve ratio para sa mga user asset na saklaw ng programa. Nakatakdang mag-host si CEO Gracy Chen ng isang live AMA sa 07:30 UTC sa Set. 28 tungkol sa insidente, pagbabalik ng withdrawals at mga susunod na hakbang ng exchange.