Частина активів, пов’язаних із порушенням безпеки Bitget, потрапила до Wasabi CoinJoin після переміщення через кілька блокчейнів і маршрутів свопів, повідомила блокчейн-компанія з комплаєнсу AMLBot.

27 вересня AMLBot повідомила, що її трасування пов’язало приблизно 4 BTC в одному раунді CoinJoin із коштами, що походили з пов’язаного з Bitget гаманця TRON. Компанія описала цю активність як очевидну спробу приховати переміщення викрадених активів.

Цей висновок з’явився після того, як Bitget переглянула вартість активів, переведених на адреси, контрольовані зловмисником, до приблизно $387,5 млн. В офіційному оновленні розслідування біржа зазначила, що нова загальна сума включає активи Zcash і TRON, яких бракувало в її початковій оцінці на $351,6 млн.

Кошти Bitget пройшли через чотири мережі перед CoinJoin

AMLBot відстежила багатоступеневий маршрут, що починався в TRON. За даними компанії, зловмисник спочатку конвертував TRX в USDT. Потім кошти були переведені в Ethereum через USDT0 — omnichain-версію Tether, призначену для переказів між підтримуваними мережами.

Після потрапляння в Ethereum активи були обміняні на приблизно 145 ETH. AMLBot повідомила, що згодом ETH пройшли через THORChain і були конвертовані приблизно в 4,59 BTC.

Потім біткоїни були розділені на менші суми перед тим, як потрапити до раунду Wasabi CoinJoin. AMLBot зазначила, що її аналіз дозволив пов’язати близько 4 BTC у цій транзакції з TRON-гаманцем Bitget.

CoinJoin об’єднує входи та виходи Bitcoin від кількох учасників в одній транзакції. Такий метод може ускладнювати трасування транзакцій, оскільки спостерігачі блокчейну не можуть просто зіставити один вхід з одним відповідним виходом.

AMLBot охарактеризувала цю активність як відмивання коштів через Wasabi CoinJoin і повідомила, що внесла пов’язані адреси до чорного списку. Компанія продовжує моніторити Bitcoin на предмет подальшої активності CoinJoin.

Ця атрибуція залишається результатом блокчейн-аналізу AMLBot. Публічні записи в блокчейні показують перекази між адресами, свопи та міжмережеву активність, однак призначення кожної транзакції виводиться на основі спостережуваного руху коштів і атрибуції адрес.

Огляд Binance News, опублікований 27 вересня, повторив ту саму послідовність, посилаючись на повідомлення, що базуються на трасуванні AMLBot.

Bitget підвищила підтверджений обсяг втрат до $387,5 млн

Спочатку Bitget заявляла, що інцидент 24 вересня зачепив приблизно $351,6 млн в активах після несанкціонованих переказів із частини її інфраструктури гарячих і теплих гаманців.

Біржа виявила цю активність о 18:31 UTC і призупинила виведення коштів, водночас залишивши депозити та торгівлю доступними. Холодні гаманці залишилися в безпеці, згідно з початковим повідомленням Bitget про безпеку.

До 25 вересня класифікація транзакцій Bitget збільшила підтверджену суму до приблизно $387,5 млн. Біржа зазначила, що це зростання не було наслідком нових крадіжок після зламу. Натомість слідчі виявили додаткові активи Zcash і TRON, залучені в початковий інцидент.

Серед постраждалих активів були ETH, XRP, USDT, USDC, USDT0, ZEC, XAUt, BNB, AVAX і TRX. У межах роботи з відновлення Bitget опублікувала основні адреси, контрольовані зловмисником, у сумісних з Ethereum мережах, XRP Ledger, Zcash і TRON.

Попередні висновки Bitget вказували на компрометацію бекенд-інфраструктури гаманців, а не на витік приватних ключів. CEO Грейсі Чен заявила, що приватні ключі залишилися захищеними, поки слідчі працювали над встановленням точного шляху проникнення.

Пізніше Bitget повідомила, що її команда безпеки виявила шлях атаки та метод, використаний для обходу чинних механізмів контролю. Компанія заявила, що базову вразливість було усунено, хоча повний технічний звіт про першопричину з детальним описом експлойту публічно ще не оприлюднено.

AMLBot заявляє, що більшість викрадених активів залишаються без руху

Активність CoinJoin становить лише невелику частину коштів, пов’язаних зі зламом.

В оновленні від 25 вересня AMLBot повідомила, що приблизно $343 млн, або близько 88% із приблизно $389 млн, які вона відстежувала, не переміщувалися. Ця оцінка компанії ґрунтувалася на адресах, які вона атрибутувала зловмиснику.

AMLBot виявила 13 неактивних гаманців, що зберігали кілька типів активів. Вісім Ethereum-гаманців містили приблизно 68 300 ETH, тоді як чотири XRP-адреси утримували близько 83 млн XRP. Ще один гаманець містив майже 18 900 ZEC.

Компанія повідомила, що жодна з цих 13 адрес не надсилала жодної транзакції після отримання коштів. Її подальше оновлення щодо Wasabi стосується іншої частини викрадених активів, які вже почали переміщуватися між мережами та активами.

Інші дослідники також відстежили окрему активність із конвертацією. Crypto.news повідомило 25 вересня, що дослідниця безпеки Тейлор Монахан виявила переміщення викрадених USDC та їхню конвертацію в ETH після атаки.

Її висновки показали, що активи під контролем зловмисника були переведені через мости та обміняні після виходу з Bitget. У повідомленні зазначалося, що Circle може заморожувати USDC на визначених адресах за умови виконання юридичних вимог, хоча публічний транзакційний слід не підтверджував, чи на той момент Circle вже отримала відповідний юридичний припис.

Подальше трасування AMLBot показує, що інша частина потоку перейшла з TRON в Ethereum, а потім у Bitcoin через THORChain перед входом у CoinJoin.

Bitget готується до поетапного відновлення виведення коштів

Bitget готується відновити сервіси виведення коштів після заяви про те, що вразливість, відповідальна за інцидент, була усунута.

Графік відновлення виведення на біржі починається з Bitcoin о 08:00 UTC 28 вересня. Виведення ETH у мережах Ethereum, BSC, Arbitrum, Base та Optimism заплановано на 29 вересня.

Виведення USDT у мережах Ethereum, BSC, Solana та TRON має відновитися 30 вересня. Виведення інших токенів, фіатні сервіси та peer-to-peer виведення, як очікується, повернуться 2 жовтня.

Bitget повідомила, що Mandiant і SlowMist продовжують допомагати в розслідуванні інциденту безпеки, тоді як її технічні команди проводять валідаційні роботи щодо інфраструктури виведення коштів.

Як повідомляло crypto.news про план відновлення роботи, Bitget заявляє, що її Protection Fund покриє фінансові втрати від інциденту, а баланси клієнтських акаунтів залишаються незмінними. Біржа повідомила, що під час паузи у виведенні коштів у фонді було понад $464 млн.

Вересневе оновлення Bitget щодо proof-of-reserves, опубліковане до зламу, показало сукупний коефіцієнт резервування на рівні 135% для 19 охоплених активів. Біржа заявляє, що підтримує щонайменше співвідношення резервів 1:1 для користувацьких активів, охоплених програмою. CEO Грейсі Чен має провести AMA в прямому ефірі о 07:30 UTC 28 вересня, де йтиметься про інцидент, відновлення виведення коштів і подальші кроки біржі.