Hackerul Bitget a convertit USDC-ul furat în ETH după o breșă pe care bursa a evaluat-o la aproximativ 351,6 milioane de dolari, readucând în discuție întrebările legate de momentul în care Circle îngheață fondurile asociate unui atac.
Cercetătoarea în securitate Taylor Monahan a semnalat activitatea atacatorului pe X, indicând USDC care se deplasa prin walleturi în timp ce activele furate erau convertite în ETH. Monahan a pus sub semnul întrebării de ce fondurile au rămas transferabile, în pofida capacității Circle de a bloca transferurile de la adrese USDC specifice.
Tranzacțiile arată că atacatorul a folosit USDC în timpul procesului de conversie, potrivit relatării lui Monahan. Critica sa vizează răspunsul Circle la fonduri identificabile, deși relatarea publică a transferurilor nu stabilește dacă Circle a primit un ordin legal privind acele adrese sau când a aflat identitatea lor.
Bitget a spus că sistemele sale de securitate au detectat transferuri neautorizate din unele hot walleturi la ora 18:31 UTC pe 24 septembrie. Bursa a activat un răspuns de urgență, a suspendat retragerile clienților și a estimat activele afectate la aproximativ 351,6 milioane de dolari. Depunerile și tranzacționarea au rămas disponibile, iar Bitget a spus că soldurile conturilor erau corecte și că cold walleturile sale erau în siguranță.
În raportul său inițial despre breșă, crypto.news a prezentat relatarea CEO-ului Bitget, Gracy Chen, despre investigația preliminară. Chen a spus că anchetatorii au exclus o scurgere a cheilor private ale walleturilor și au considerat că atacatorii au pătruns în sistemele bursei pentru a muta direct fondurile, fără a trimite cereri de retragere ale clienților. Bitget încă investiga punctul de intrare și nu publicase o versiune finală a atacului.
Furtul a implicat mai multe active, ceea ce i-a obligat pe anchetatori să urmărească mai mult de o rută a fondurilor furate. Trackerul on-chain Lookonchain a estimat portofoliul furat la aproximativ 356,8 milioane de dolari folosind prețurile din momentul actualizării sale. Defalcarea sa a inclus 102,93 milioane XRP în valoare de aproximativ 157,48 milioane de dolari, 31.890 ETH în valoare de aproximativ 85,75 milioane de dolari și 21,05 milioane USDC. Estimarea on-chain în schimbare a Lookonchain și cifra internă a pierderilor raportată de Bitget folosesc măsurători diferite.
Bitget a spus că a marcat adresele legate de transferurile anormale și a notificat autoritățile de aplicare a legii și firmele de securitate on-chain. Chen a spus că măsurile pentru a preveni noi ieșiri de fonduri au fost finalizate, în timp ce inginerii lucrau la reparații și la reluarea serviciilor de retragere.
Îngrijorarea lui Monahan se concentrează pe porțiunea din activele furate deținută în USDC. Termenii USDC ai Circle spun că emitentul își rezervă dreptul de a bloca transferurile către și de la anumite adrese on-chain în baza politicii sale de blocklistare. Odată ce un atacator face swap din USDC în ETH, însă, o blocare a unei adrese USDC nu poate îngheța ETH-ul primit în acel trade.
Circle a descris un standard mai restrâns pentru utilizarea controalelor sale tehnice decât cel pe care îl cer criticii săi în timpul unui exploit activ. Într-o declarație din aprilie privind intervenția legală, publicată după hackul Drift Protocol, compania a spus că își exercită capacitatea de înghețare atunci când este obligată legal de o autoritate competentă. Circle a susținut că a permite unui emitent să decidă de unul singur ale cui active să le blocheze ar putea pune în pericol drepturile de proprietate ale deținătorilor legitimi.
Termenii săi USDC mai spun și că Circle poate fi obligată să înghețe tokenuri după primirea unui ordin legal din partea unei autorități guvernamentale valide. Termenii rezervă separat dreptul de a bloca anumite adrese pe care Circle stabilește că ar putea fi asociate cu activitate ilegală sau cu o încălcare a termenilor săi. Aceștia precizează că o tranzacție USDC on-chain nu poate fi inversată sau revocată după ce a fost inițiată.
Aceste prevederi sunt importante pentru deținătorii din SUA deoarece Circle emite un stablecoin susținut de dolar, folosit pe burse și în aplicații descentralizate, în timp ce deciziile sale de înghețare pot afecta accesul la tokenurile de la o anumită adresă. Politica declarată a Circle pune procesul legal în centrul acestei decizii. Critica lui Monahan se concentrează pe timpul disponibil pentru a interveni înainte ca un atacator suspectat să termine de mutat sau de făcut swap la USDC.
Circle a spus în declarația sa din aprilie că există instrumente pentru o intervenție mai rapidă, dar că cadrele juridice pentru acțiuni mai rapide și coordonate, care să protejeze totodată drepturile utilizatorilor, rămân incomplete. Compania a cerut reguli mai clare și măsuri de securitate la nivelul protocoalelor, walleturilor, burselor și emitenților de stablecoin.
Investigatorul on-chain ZachXBT a susținut în aprilie că Circle a luat măsuri minime sau nu a acționat suficient de rapid în 15 cazuri care au implicat peste 420 de milioane de dolari în fluxuri suspecte ilicite de USDC din 2022 încoace. Lista sa a acoperit hackuri și cazuri de fraudă în care, potrivit lui, fondurile furate au rămas transferabile în ciuda timpului disponibil pentru identificarea activității.
Așa cum a relatat anterior crypto.news, ZachXBT a menționat aproximativ 9 milioane de dolari în USDC legate de hackul GMX din iulie 2025 și a spus că walleturile implicate în hackul Cetus au fost blocate abia după ce USDC-ul furat fusese convertit în ETH. El a mai susținut că atacatorii din cazul Drift au mutat aproximativ 232 de milioane de dolari în circa șase ore și în peste 100 de tranzacții înainte de a converti fondurile.
Transferurile din cazul Drift au devenit subiectul unui proces civil în SUA. În aprilie, un reclamant a dat în judecată Circle în legătură cu transferurile care au urmat exploitului, susținând că emitentul nu a reușit să oprească aproximativ 230 de milioane de dolari în USDC furat, direcționat prin Cross-Chain Transfer Protocol al companiei. Plângerea, depusă la un tribunal federal districtual din Massachusetts, susține că o intervenție mai timpurie ar fi putut reduce pierderile. Acestea sunt afirmațiile reclamantului, nu o constatare a instanței împotriva Circle.
În acel caz, reclamantul a indicat și înghețarea de către Circle a 16 walleturi legate de USDC, asociate cu o altă cauză civilă sigilată din SUA, drept dovadă că emitentul putea bloca adrese. Declarația publică a Circle din aprilie, emisă după atacul Drift, a spus că înghețările necesită autoritate legală și a cerut structuri juridice care să permită o acțiune mai rapidă în incidente viitoare.
ETH
USDC