Selon la société de conformité blockchain AMLBot, certains actifs liés à la faille de sécurité de Bitget sont entrés dans Wasabi CoinJoin après avoir transité par plusieurs blockchains et routes de swap.

AMLBot a déclaré le 27 septembre que son traçage reliait environ 4 BTC dans un tour de CoinJoin à des fonds provenant d’un portefeuille TRON lié à Bitget. La société a décrit cette activité comme une tentative apparente de masquer le déplacement d’actifs volés.

Cette découverte intervient après que Bitget a révisé à environ 387,5 millions de dollars la valeur des actifs transférés vers des adresses contrôlées par l’attaquant. La mise à jour officielle de l’enquête de l’exchange indique que ce nouveau total inclut des actifs Zcash et TRON absents de son estimation initiale de 351,6 millions de dollars.

Les fonds de Bitget ont transité par quatre réseaux avant CoinJoin

AMLBot a retracé un parcours en plusieurs étapes commençant sur TRON. Selon le récit de la société, l’attaquant a d’abord converti des TRX en USDT. Les fonds ont ensuite été transférés vers Ethereum via USDT0, une version omnichain de Tether conçue pour les transferts entre réseaux pris en charge.

Une fois sur Ethereum, les actifs ont été swappés en environ 145 ETH. AMLBot a indiqué que ces ETH ont ensuite transité par THORChain et ont été convertis en environ 4,59 BTC.

Les bitcoins ont ensuite été divisés en montants plus faibles avant d’atteindre un tour de Wasabi CoinJoin. AMLBot a indiqué que son analyse pouvait relier environ 4 BTC de cette transaction au portefeuille TRON de Bitget.

CoinJoin combine les entrées et sorties de bitcoins de plusieurs participants dans une seule transaction. Cette technique peut rendre le traçage des transactions plus difficile, car les observateurs de la blockchain ne peuvent pas simplement faire correspondre une entrée à une sortie donnée.

AMLBot a qualifié cette activité de blanchiment via Wasabi CoinJoin et a indiqué avoir mis sur liste noire les adresses liées. L’entreprise continue de surveiller les bitcoins pour détecter d’autres activités CoinJoin.

L’attribution repose toujours sur l’analyse blockchain d’AMLBot. Les registres publics de la blockchain montrent les transferts entre adresses, les swaps et l’activité cross-chain, mais l’objectif de chaque transaction est déduit à partir des flux observés et de l’attribution des adresses.

Un résumé de Binance News publié le 27 septembre a repris la même séquence, en citant des rapports fondés sur le traçage d’AMLBot.

Bitget porte la perte confirmée à 387,5 millions de dollars

Bitget avait initialement indiqué que l’incident du 24 septembre avait affecté environ 351,6 millions de dollars d’actifs après des transferts non autorisés depuis certaines parties de son infrastructure de hot wallets et de warm wallets.

L’exchange a détecté l’activité à 18:31 UTC et a suspendu les retraits tout en laissant les dépôts et le trading opérationnels. Les cold wallets sont restés sécurisés, selon l’avis de sécurité initial de Bitget.

Au 25 septembre, la classification des transactions de Bitget avait porté le montant confirmé à environ 387,5 millions de dollars. L’exchange a précisé que cette hausse ne résultait pas de nouveaux vols après la faille. Les enquêteurs avaient plutôt identifié des actifs Zcash et TRON supplémentaires impliqués dans l’incident initial.

Les actifs affectés comprenaient ETH, XRP, USDT, USDC, USDT0, ZEC, XAUt, BNB, AVAX et TRX. Bitget a publié les principales adresses contrôlées par l’attaquant sur les réseaux compatibles Ethereum, le XRP Ledger, Zcash et TRON dans le cadre de ses efforts de récupération.

Les conclusions préliminaires de Bitget pointaient vers une compromission impliquant l’infrastructure backend des portefeuilles plutôt qu’une fuite de clés privées. La PDG Gracy Chen a déclaré que les clés privées étaient restées sécurisées pendant que les enquêteurs travaillaient à identifier le vecteur d’intrusion exact.

Bitget a ensuite indiqué que son équipe de sécurité avait identifié le chemin d’attaque et la méthode utilisée pour contourner les contrôles existants. L’entreprise a affirmé que la vulnérabilité sous-jacente avait été corrigée, bien qu’elle n’ait pas publié publiquement de rapport technique complet sur la cause racine détaillant l’exploit.

AMLBot affirme que la plupart des actifs volés restent inactifs

L’activité CoinJoin ne représente qu’une petite partie des fonds liés à la faille.

Dans une mise à jour du 25 septembre, AMLBot a indiqué qu’environ 343 millions de dollars, soit près de 88 % des quelque 389 millions de dollars qu’il suivait, n’avaient pas bougé. Le chiffre de la société reposait sur les adresses qu’elle attribuait à l’attaquant.

AMLBot a identifié 13 portefeuilles inactifs détenant plusieurs types d’actifs. Huit portefeuilles Ethereum contenaient environ 68 300 ETH, tandis que quatre adresses XRP détenaient environ 83 millions de XRP. Un autre portefeuille contenait près de 18 900 ZEC.

La société a indiqué qu’aucune de ces 13 adresses n’avait envoyé de transaction depuis la réception des fonds. Sa mise à jour ultérieure sur Wasabi concerne une autre partie des actifs volés qui avaient déjà commencé à circuler entre chaînes et actifs.

D’autres chercheurs ont retracé une activité de conversion distincte. Crypto.news a rapporté le 25 septembre que la chercheuse en sécurité Taylor Monahan avait identifié des USDC volés en cours de déplacement et de conversion en ETH après l’attaque.

Ses conclusions ont montré que des actifs contrôlés par l’attaquant étaient bridgés et swappés après avoir quitté Bitget. Le rapport notait que Circle peut geler des USDC à des adresses spécifiées lorsque les exigences légales sont remplies, bien que la trace publique des transactions n’établisse pas si une ordonnance légale valide était parvenue à Circle à ce moment-là.

Le traçage ultérieur d’AMLBot montre qu’une autre partie du flux est passée de TRON à Ethereum, puis vers Bitcoin via THORChain avant d’entrer dans CoinJoin.

Bitget prépare une réouverture progressive des retraits

Bitget se prépare à rétablir les services de retrait après avoir indiqué que la vulnérabilité responsable de l’incident avait été corrigée.

Le calendrier de reprise des retraits de l’exchange commence par Bitcoin à 08:00 UTC le 28 septembre. Les retraits d’ETH sur Ethereum, BSC, Arbitrum, Base et Optimism sont prévus pour le 29 septembre.

Les retraits d’USDT sur Ethereum, BSC, Solana et TRON doivent reprendre le 30 septembre. Les autres retraits de tokens, les services fiat et les retraits peer-to-peer devraient revenir le 2 octobre.

Bitget a indiqué que Mandiant et SlowMist continuaient d’assister l’enquête de sécurité tandis que ses équipes techniques effectuaient des travaux de validation sur l’infrastructure de retrait.

Comme l’a rapporté crypto.news au sujet du plan de réouverture, Bitget affirme que son Protection Fund couvrira la perte financière liée à l’incident et que les soldes des comptes clients restent inchangés. L’exchange a indiqué que ce fonds détenait plus de 464 millions de dollars pendant la suspension des retraits.

La mise à jour de septembre de la preuve de réserves de Bitget, publiée avant la faille, montrait un ratio de réserves total de 135 % sur 19 actifs couverts. L’exchange affirme maintenir au minimum un ratio de réserves de 1:1 pour les actifs des utilisateurs couverts par le programme. La PDG Gracy Chen doit animer un AMA en direct à 07:30 UTC le 28 septembre, portant sur l’incident, le rétablissement des retraits et les prochaines étapes de l’exchange.