Kinonvert ng Bitget hacker ang ninakaw na USDC tungo sa ETH matapos ang isang breach na tinaya ng exchange sa humigit-kumulang $351.6 milyon, muling binubuhay ang mga tanong kung kailan pini-freeze ng Circle ang mga pondong may kaugnayan sa isang pag-atake.
Itinuro ng security researcher na si Taylor Monahan ang aktibidad ng attacker sa X, na tumutukoy sa paggalaw ng USDC sa mga wallet habang kino-convert ang mga ninakaw na asset tungo sa ETH. Kinuwestiyon ni Monahan kung bakit nanatiling naililipat ang mga pondo sa kabila ng kakayahan ng Circle na harangan ang mga transfer mula sa mga partikular na USDC address.
Ipinapakita ng mga transaksyon na gumamit ang attacker ng USDC sa panahon ng proseso ng conversion, ayon sa ulat ni Monahan. Ang kanyang kritisismo ay nakatuon sa tugon ng Circle sa mga pondong matutukoy, bagama’t hindi pinatutunayan ng pampublikong tala ng mga transfer kung nakatanggap ba ang Circle ng legal na utos kaugnay ng mga address na iyon o kung kailan nito nalaman ang kanilang pagkakakilanlan.
Sinabi ng Bitget na natukoy ng mga security system nito ang mga hindi awtorisadong transfer mula sa ilang hot wallet noong 18:31 UTC noong Set. 24. Agad na nagpatupad ang exchange ng emergency response, sinuspinde ang customer withdrawals at tinaya ang mga apektadong asset sa humigit-kumulang $351.6 milyon. Nanatiling available ang deposits at trading, habang sinabi ng Bitget na tama ang mga balanse ng account at ligtas ang mga cold wallet nito.
Sa paunang ulat nito tungkol sa breach, tinalakay ng crypto.news ang salaysay ni Bitget CEO Gracy Chen hinggil sa paunang imbestigasyon. Sinabi ni Chen na inalis na ng mga imbestigador ang posibilidad ng pagtagas ng mga private key ng wallet at naniniwalang nakapasok ang mga attacker sa mga system ng exchange upang direktang ilipat ang mga pondo, nang hindi nagsusumite ng mga customer withdrawal request. Patuloy pa ring iniimbestigahan ng Bitget ang pinanggalingang entry point at hindi pa naglalabas ng pinal na ulat tungkol sa pag-atake.
Ilang asset ang nasangkot sa pagnanakaw, kaya higit sa isang ruta ng mga ninakaw na pondo ang kailangang subaybayan ng mga imbestigador. Tinaya ng on-chain tracker na Lookonchain ang ninakaw na portfolio sa humigit-kumulang $356.8 milyon gamit ang mga presyo sa oras ng pag-update nito. Kasama sa breakdown nito ang 102.93 milyong XRP na nagkakahalaga ng humigit-kumulang $157.48 milyon, 31,890 ETH na nagkakahalaga ng humigit-kumulang $85.75 milyon, at 21.05 milyong USDC. Magkaiba ang ginagamit na sukatan ng pabago-bagong on-chain estimate ng Lookonchain at ng internal loss figure ng Bitget.
Sinabi ng Bitget na na-flag na nito ang mga address na konektado sa mga abnormal na transfer at naabisuhan na ang law enforcement at mga on-chain security firm. Sinabi ni Chen na natapos na ang mga hakbang upang maiwasan ang karagdagang pag-agos palabas ng pondo habang abala ang mga engineer sa pagkukumpuni at sa pagbabalik ng withdrawal services.
Nakasentro ang pangamba ni Monahan sa bahagi ng mga ninakaw na asset na hawak sa USDC. Ayon sa USDC terms ng Circle, inilalaan ng issuer ang karapatang harangan ang mga transfer papunta at mula sa ilang on-chain address sa ilalim ng blocklisting policy nito. Kapag na-swap na ng attacker ang USDC tungo sa ETH, gayunpaman, ang pag-block sa isang USDC address ay hindi na makakapag-freeze sa ETH na natanggap sa naturang trade.
Inilarawan ng Circle ang mas makitid na pamantayan para sa paggamit ng mga technical control nito kaysa sa hinihingi ng mga kritiko nito sa gitna ng aktibong exploit. Sa isang pahayag noong Abril tungkol sa lawful intervention, na inilathala matapos ang Drift Protocol hack, sinabi ng kumpanya na ginagamit nito ang kakayahan nitong mag-freeze kapag ito ay legal na inaatasan ng naaangkop na awtoridad. Iginiit ng Circle na kung hahayaan ang issuer na magpasya nang mag-isa kung aling mga asset ang haharangan, maaaring malagay sa panganib ang mga karapatan sa ari-arian ng mga lehitimong holder.
Nakasaad din sa USDC terms nito na maaaring atasan ang Circle na i-freeze ang mga token matapos makatanggap ng legal na utos mula sa isang balidong awtoridad ng gobyerno. Hiwalay ring inilalaan ng mga tuntunin ang karapatang harangan ang ilang address na sa palagay ng Circle ay maaaring may kaugnayan sa ilegal na aktibidad o sa paglabag sa mga tuntunin nito. Nakasaad din doon na ang isang on-chain USDC transaction ay hindi maaaring baligtarin o bawiin kapag nasimulan na.
Mahalaga ang mga probisyong iyon sa mga holder sa U.S. dahil ang Circle ang issuer ng dollar-backed stablecoin na ginagamit sa iba’t ibang exchange at decentralized application, habang ang mga desisyon nito sa pag-freeze ay maaaring makaapekto sa access sa mga token sa isang partikular na address. Inilalagay ng ipinahayag na polisiya ng Circle ang lawful process sa sentro ng desisyong iyon. Nakatuon ang kritisismo ni Monahan sa oras na available upang makialam bago matapos ng pinaghihinalaang attacker ang paglipat o pag-swap ng USDC.
Sinabi ng Circle sa pahayag nito noong Abril na may mga tool para sa mas mabilis na interbensyon, ngunit hindi pa kumpleto ang mga legal framework para sa mas mabilis at koordinadong aksyon habang pinoprotektahan ang mga karapatan ng mga user. Nanawagan ang kumpanya para sa mas malinaw na mga patakaran at para sa mga hakbang sa seguridad sa iba’t ibang protocol, wallet, exchange at stablecoin issuer.
Ipinahayag ng on-chain investigator na si ZachXBT noong Abril na kakaunti lamang ang naging aksyon ng Circle o hindi ito kumilos nang sapat na mabilis sa 15 kaso na kinasasangkutan ng mahigit $420 milyon sa pinaghihinalaang iligal na daloy ng USDC mula pa noong 2022. Saklaw ng kanyang listahan ang mga hack at fraud case kung saan sinabi niyang nanatiling naililipat ang mga ninakaw na pondo sa kabila ng sapat na oras upang matukoy ang aktibidad.
Gaya ng naunang iniulat ng crypto.news, binanggit ni ZachXBT ang humigit-kumulang $9 milyon sa USDC na konektado sa GMX hack noong Hulyo 2025 at sinabing ang mga wallet na sangkot sa Cetus hack ay na-block lamang matapos ma-convert ang ninakaw na USDC tungo sa ETH. Inakusahan din niya na ang mga attacker sa kaso ng Drift ay nakapaglipat ng humigit-kumulang $232 milyon sa loob ng mga anim na oras at mahigit 100 transaksyon bago i-convert ang mga pondo.
Ang mga transfer sa Drift ay naging paksa ng isang kasong sibil sa U.S. Noong Abril, nagsampa ng kaso ang isang claimant laban sa Circle kaugnay ng mga transfer kasunod ng exploit, at inakusahan ang issuer na nabigo itong pigilan ang humigit-kumulang $230 milyon sa ninakaw na USDC na dinaan sa Cross-Chain Transfer Protocol nito. Iginigiit ng reklamo, na inihain sa isang federal district court sa Massachusetts, na maaaring nabawasan ang mga pagkalugi kung mas maaga ang naging interbensyon. Mga alegasyon iyon ng claimant, at hindi isang hatol ng hukuman laban sa Circle.
Sa kasong iyon, itinuro rin ng claimant ang pag-freeze ng Circle sa 16 na wallet na may kaugnayan sa USDC na konektado sa isang hiwalay at selyadong usaping sibil sa U.S. bilang patunay na kayang harangan ng issuer ang mga address. Sinabi ng pampublikong pahayag ng Circle noong Abril, na inilabas matapos ang Drift attack, na ang mga freeze ay nangangailangan ng lawful authority at nanawagan ito para sa mga legal na estruktura na magpapahintulot sa mas mabilis na aksyon sa mga susunod na insidente.
ETH
USDC