Хакер Bitget конвертував викрадений USDC в ETH після зламу, який біржа оцінила приблизно у $351,6 млн, що знову порушило питання про те, коли Circle заморожує кошти, пов’язані з атакою.
Дослідниця безпеки Тейлор Монахан звернула увагу на активність атакувальника в X, вказавши на переміщення USDC через гаманці в той час, як викрадені активи конвертувалися в ETH. Монахан поставила питання, чому кошти залишалися придатними до переміщення, попри здатність Circle блокувати перекази з конкретних адрес USDC.
За словами Монахан, транзакції свідчать, що атакувальник використовував USDC під час процесу конвертації. Її критика стосується реакції Circle на ідентифіковані кошти, хоча публічний опис переказів не встановлює, чи отримувала Circle юридичний припис щодо цих адрес і коли саме компанія дізналася про їхню належність.
Bitget повідомила, що її системи безпеки виявили несанкціоновані перекази з деяких гарячих гаманців о 18:31 UTC 24 вересня. Біржа активувала аварійну процедуру реагування, призупинила виведення коштів клієнтами та оцінила обсяг уражених активів приблизно у $351,6 млн. Депозити та торгівля залишалися доступними, а Bitget заявила, що баланси акаунтів є точними, а її холодні гаманці — у безпеці.
У своєму початковому звіті про злам crypto.news висвітлювало заяви CEO Bitget Грейсі Чен щодо попереднього розслідування. Чен сказала, що слідчі виключили витік приватних ключів гаманців і вважають, що атакувальники проникли в системи біржі, щоб переміщувати кошти безпосередньо, не подаючи запити клієнтів на виведення. Bitget і далі розслідувала точку проникнення та ще не оприлюднила остаточну версію атаки.
Крадіжка охоплювала кілька активів, через що слідчим довелося відстежувати викрадені кошти більш ніж одним маршрутом. Ончейн-трекер Lookonchain оцінив викрадений портфель приблизно у $356,8 млн, використовуючи ціни на момент свого оновлення. За його розбивкою, до складу входили 102,93 млн XRP вартістю близько $157,48 млн, 31 890 ETH вартістю близько $85,75 млн і 21,05 млн USDC. Змінна ончейн-оцінка Lookonchain і внутрішня оцінка збитків Bitget базуються на різних метриках.
Bitget заявила, що позначила адреси, пов’язані з аномальними переказами, та повідомила правоохоронні органи й компанії з ончейн-безпеки. Чен зазначила, що заходи для запобігання подальшому відтоку вже завершено, тоді як інженери працюють над відновленням систем і поверненням сервісу виведення коштів.
Занепокоєння Монахан зосереджене на частині викрадених активів, що зберігалася в USDC. Умови використання USDC від Circle передбачають, що емітент залишає за собою право блокувати перекази до і з певних ончейн-адрес відповідно до своєї політики блоклистингу. Однак щойно атакувальник обмінює USDC на ETH, блокування адреси USDC вже не може заморозити ETH, отриманий у цій угоді.
Circle описує вужчий стандарт застосування своїх технічних інструментів контролю, ніж той, якого вимагають її критики під час активного експлойту. У квітневій заяві щодо правомірного втручання, опублікованій після зламу Drift Protocol, компанія повідомила, що використовує можливість заморожування, коли до цього юридично зобов’язана належним органом влади. Circle стверджує, що надання емітенту права самостійно вирішувати, чиї активи блокувати, може поставити під загрозу майнові права легітимних власників.
Умови USDC також передбачають, що Circle може бути зобов’язана заморозити токени після отримання юридичного припису від чинного державного органу. Окремо умови залишають за Circle право блокувати певні адреси, які, на думку компанії, можуть бути пов’язані з незаконною діяльністю або порушенням її умов. У них також зазначено, що ончейн-транзакцію USDC неможливо скасувати чи відкликати після її ініціювання.
Ці положення важливі для власників у США, оскільки Circle випускає прив’язаний до долара стейблкоїн, який використовується на біржах і в децентралізованих застосунках, а рішення про заморожування можуть впливати на доступ до токенів за конкретною адресою. Оголошена Circle політика ставить законну процедуру в центр такого рішення. Критика Монахан зосереджена на часі, доступному для втручання до того, як імовірний атакувальник завершить переміщення або своп USDC.
У своїй квітневій заяві Circle зазначила, що інструменти для швидшого втручання існують, однак правові рамки для оперативніших і скоординованих дій із одночасним захистом прав користувачів залишаються неповними. Компанія закликала до чіткіших правил і до заходів безпеки на рівні протоколів, гаманців, бірж та емітентів стейблкоїнів.
Ончейн-дослідник ZachXBT у квітні заявив, що з 2022 року Circle вживала мінімальних заходів або діяла недостатньо швидко в 15 випадках, що стосувалися понад $420 млн імовірно незаконних потоків USDC. До його переліку увійшли злами та шахрайські кейси, у яких, за його словами, викрадені кошти залишалися придатними до переміщення, попри наявність часу для ідентифікації активності.
Як раніше повідомляло crypto.news, ZachXBT навів приклад приблизно $9 млн у USDC, пов’язаних зі зламом GMX у липні 2025 року, і сказав, що гаманці, задіяні у зламі Cetus, були заблоковані лише після того, як викрадений USDC уже конвертували в ETH. Він також стверджував, що атакувальники у випадку Drift перемістили приблизно $232 млн за близько шість годин і більш ніж 100 транзакцій, перш ніж конвертувати кошти.
Перекази у справі Drift стали предметом цивільного процесу в США. У квітні позивач подав позов проти Circle через перекази після експлойту, стверджуючи, що емітент не зміг зупинити близько $230 млн викраденого USDC, який був маршрутизований через його Cross-Chain Transfer Protocol. У позовній заяві, поданій до федерального окружного суду Массачусетса, стверджується, що раніше втручання могло б зменшити збитки. Це твердження позивача, а не судове встановлення провини Circle.
У цій справі позивач також вказав на заморожування Circle 16 гаманців, пов’язаних з USDC, у межах окремої засекреченої цивільної справи в США як на доказ того, що емітент здатен блокувати адреси. У квітневій публічній заяві Circle, оприлюдненій після атаки на Drift, зазначалося, що заморожування потребують законних повноважень, а також містився заклик до створення правових механізмів, які дозволили б діяти швидше під час майбутніх інцидентів.
ETH
USDC