Bitget हैकर ने एक्सचेंज द्वारा लगभग 351.6 मिलियन डॉलर आंकी गई सेंधमारी के बाद चोरी किए गए USDC को ETH में कन्वर्ट कर दिया है, जिससे यह सवाल फिर उठ खड़े हुए हैं कि Circle किसी हमले से जुड़े फंड्स को कब फ्रीज करता है।

सिक्योरिटी रिसर्चर टेलर मोनाहन ने X पर हमलावर की गतिविधि को फ्लैग किया और बताया कि चोरी की गई एसेट्स को ETH में कन्वर्ट किए जाने के दौरान USDC वॉलेट्स के जरिए मूव हो रहा था। मोनाहन ने सवाल उठाया कि Circle के पास खास USDC एड्रेसों से ट्रांसफर ब्लॉक करने की क्षमता होने के बावजूद ये फंड्स मूवेबल कैसे बने रहे।

मोनाहन के अनुसार, ट्रांजैक्शंस से दिखता है कि कन्वर्जन प्रोसेस के दौरान हमलावर ने USDC का इस्तेमाल किया। उनकी आलोचना Circle की पहचान किए जा सकने वाले फंड्स पर प्रतिक्रिया को लेकर है, हालांकि ट्रांसफर्स का सार्वजनिक रिकॉर्ड यह स्थापित नहीं करता कि Circle को उन एड्रेसों के संबंध में कोई कानूनी आदेश मिला था या उसे उनकी पहचान कब पता चली।

351.6 मिलियन डॉलर की सेंधमारी के बाद Bitget हमलावर ने USDC मूव किया

Bitget ने कहा कि उसके सिक्योरिटी सिस्टम्स ने 24 सितंबर को 18:31 UTC पर कुछ हॉट वॉलेट्स से अनधिकृत ट्रांसफर्स का पता लगाया। एक्सचेंज ने इमरजेंसी रिस्पॉन्स एक्टिवेट किया, कस्टमर विड्रॉल्स निलंबित किए और प्रभावित एसेट्स का अनुमान लगभग 351.6 मिलियन डॉलर लगाया। डिपॉजिट्स और ट्रेडिंग उपलब्ध रहे, जबकि Bitget ने कहा कि अकाउंट बैलेंस सटीक थे और उसके कोल्ड वॉलेट्स सुरक्षित थे।

सेंधमारी पर अपनी शुरुआती रिपोर्ट में, crypto.news ने Bitget CEO ग्रेसी चेन द्वारा दी गई प्रारंभिक जांच की जानकारी को कवर किया था। चेन ने कहा कि जांचकर्ताओं ने वॉलेट प्राइवेट कीज़ के लीक होने की संभावना को खारिज कर दिया है और उनका मानना है कि हमलावर एक्सचेंज के सिस्टम्स में घुसकर सीधे फंड्स मूव करने में सफल रहे, बिना कस्टमर विड्रॉल रिक्वेस्ट सबमिट किए। Bitget अभी भी एंट्री पॉइंट की जांच कर रहा था और उसने हमले का अंतिम विवरण जारी नहीं किया था।

इस चोरी में कई एसेट्स शामिल थे, जिससे जांचकर्ताओं को चोरी किए गए फंड्स के लिए एक से अधिक रास्तों को ट्रैक करना पड़ा। ऑन-चेन ट्रैकर Lookonchain ने अपने अपडेट के समय की कीमतों के आधार पर चोरी किए गए पोर्टफोलियो का अनुमान लगभग 356.8 मिलियन डॉलर लगाया। उसके ब्रेकडाउन में 102.93 मिलियन XRP शामिल था, जिसकी कीमत लगभग 157.48 मिलियन डॉलर थी, 31,890 ETH जिसकी कीमत लगभग 85.75 मिलियन डॉलर थी, और 21.05 मिलियन USDC। Lookonchain का बदलता हुआ ऑन-चेन अनुमान और Bitget का आंतरिक नुकसान आंकड़ा अलग-अलग मापदंडों का उपयोग करते हैं।

Bitget ने कहा कि उसने असामान्य ट्रांसफर्स से जुड़े एड्रेसों को फ्लैग कर दिया है और लॉ एन्फोर्समेंट तथा ऑन-चेन सिक्योरिटी फर्म्स को सूचित कर दिया है। चेन ने कहा कि इंजीनियर्स रिपेयर और विड्रॉल सेवाओं की बहाली पर काम कर रहे हैं, जबकि आगे के आउटफ्लो को रोकने के उपाय पूरे कर लिए गए हैं।

मोनाहन की चिंता चोरी की गई एसेट्स के उस हिस्से पर केंद्रित है जो USDC में रखा गया था। Circle की USDC शर्तों के अनुसार, उसका इश्यूअर अपनी ब्लॉकलिस्टिंग पॉलिसी के तहत कुछ ऑन-चेन एड्रेसों से और उनकी ओर होने वाले ट्रांसफर्स को ब्लॉक करने का अधिकार सुरक्षित रखता है। हालांकि, एक बार हमलावर USDC को ETH में स्वैप कर देता है, तो USDC एड्रेस पर लगाया गया ब्लॉक उस ट्रेड में प्राप्त ETH को फ्रीज नहीं कर सकता।

Circle की फ्रीज पॉलिसी ने रिस्पॉन्स टाइम को लेकर विवाद खड़ा किया

Circle ने अपने तकनीकी नियंत्रणों के इस्तेमाल के लिए उस मानक की तुलना में अधिक संकीर्ण मानक बताया है, जिसकी उसके आलोचक लाइव एक्सप्लॉइट के दौरान मांग करते हैं। Drift Protocol हैक के बाद प्रकाशित अप्रैल के एक lawful intervention बयान में कंपनी ने कहा कि वह अपनी फ्रीज क्षमता का उपयोग तभी करती है जब उसे किसी उपयुक्त प्राधिकरण द्वारा कानूनी रूप से बाध्य किया जाता है। Circle ने तर्क दिया कि यदि किसी इश्यूअर को यह खुद तय करने दिया जाए कि किसकी एसेट्स ब्लॉक करनी हैं, तो इससे वैध धारकों के संपत्ति अधिकार जोखिम में पड़ सकते हैं।

उसकी USDC शर्तों में यह भी कहा गया है कि किसी वैध सरकारी प्राधिकरण से कानूनी आदेश मिलने के बाद Circle को टोकन्स फ्रीज करने की आवश्यकता पड़ सकती है। शर्तें अलग से यह अधिकार भी सुरक्षित रखती हैं कि Circle उन कुछ एड्रेसों को ब्लॉक कर सकता है जिन्हें वह अवैध गतिविधि या अपनी शर्तों के उल्लंघन से जुड़ा मानता है। इनमें यह भी कहा गया है कि एक बार शुरू होने के बाद ऑन-चेन USDC ट्रांजैक्शन को रिवर्स या रिकॉल नहीं किया जा सकता।

ये प्रावधान अमेरिकी धारकों के लिए महत्वपूर्ण हैं क्योंकि Circle डॉलर-समर्थित स्टेबलकॉइन जारी करता है, जिसका उपयोग एक्सचेंजों और विकेंद्रीकृत एप्लिकेशंस में होता है, और उसके फ्रीज फैसले किसी खास एड्रेस पर टोकन्स तक पहुंच को प्रभावित कर सकते हैं। Circle की घोषित नीति इस निर्णय के केंद्र में कानूनी प्रक्रिया को रखती है। मोनाहन की आलोचना उस समयावधि पर केंद्रित है जिसमें किसी संदिग्ध हमलावर द्वारा USDC को मूव या स्वैप पूरा करने से पहले हस्तक्षेप किया जा सकता है।

Circle ने अपने अप्रैल बयान में कहा कि तेज हस्तक्षेप के लिए टूल्स मौजूद हैं, लेकिन यूजर्स के अधिकारों की रक्षा करते हुए अधिक तेज और समन्वित कार्रवाई के लिए कानूनी ढांचे अब भी अधूरे हैं। कंपनी ने अधिक स्पष्ट नियमों और प्रोटोकॉल्स, वॉलेट्स, एक्सचेंजों तथा स्टेबलकॉइन इश्यूअर्स में सिक्योरिटी उपायों की मांग की।

ZachXBT ने USDC के 15 पहले के मामलों का दस्तावेजीकरण किया

ऑन-चेन इन्वेस्टिगेटर ZachXBT ने अप्रैल में आरोप लगाया कि 2022 से अब तक संदिग्ध अवैध USDC फ्लोज़ के 420 मिलियन डॉलर से अधिक से जुड़े 15 मामलों में Circle ने या तो बहुत कम कार्रवाई की या पर्याप्त तेजी से कार्रवाई करने में विफल रहा। उनकी सूची में हैक्स और फ्रॉड के मामले शामिल थे, जिनमें उनके अनुसार गतिविधि की पहचान के लिए समय होने के बावजूद चोरी के फंड्स मूवेबल बने रहे।

जैसा कि crypto.news ने पहले कवर किया था, ZachXBT ने जुलाई 2025 के GMX हैक से जुड़े लगभग 9 मिलियन डॉलर के USDC का हवाला दिया और कहा कि Cetus हैक में शामिल वॉलेट्स को तभी ब्लॉक किया गया जब चोरी किया गया USDC पहले ही ETH में कन्वर्ट हो चुका था। उन्होंने यह भी आरोप लगाया कि Drift मामले में हमलावरों ने फंड्स कन्वर्ट करने से पहले लगभग छह घंटे में और 100 से अधिक ट्रांजैक्शंस के जरिए करीब 232 मिलियन डॉलर मूव किए।

Drift ट्रांसफर्स बाद में अमेरिका के एक सिविल केस का विषय बने। अप्रैल में, एक दावेदार ने एक्सप्लॉइट के बाद हुए ट्रांसफर्स को लेकर Circle पर मुकदमा दायर किया और आरोप लगाया कि इश्यूअर अपने Cross-Chain Transfer Protocol के जरिए रूट किए गए लगभग 230 मिलियन डॉलर के चोरी हुए USDC को रोकने में विफल रहा। मैसाचुसेट्स की एक फेडरल डिस्ट्रिक्ट कोर्ट में दायर शिकायत में कहा गया है कि पहले हस्तक्षेप से नुकसान कम किया जा सकता था। ये दावेदार के आरोप हैं, न कि Circle के खिलाफ अदालत का कोई निष्कर्ष।

उस मामले में, दावेदार ने एक अलग सील्ड अमेरिकी सिविल मामले से जुड़े 16 USDC-लिंक्ड वॉलेट्स को Circle द्वारा फ्रीज किए जाने को भी इस बात के सबूत के रूप में पेश किया कि इश्यूअर एड्रेस ब्लॉक कर सकता है। Drift हमले के बाद जारी Circle के अप्रैल के सार्वजनिक बयान में कहा गया था कि फ्रीज करने के लिए वैध प्राधिकरण आवश्यक है और भविष्य की घटनाओं के दौरान तेज कार्रवाई की अनुमति देने वाले कानूनी ढांचे की मांग की गई थी।