Почти 5 000 BTC ушли с Bitget, пока хакеры начали отмывать добычу на 387,5 млн долларов

Отслеживаемый баланс биткоина Bitget сократился примерно на 4 642 BTC после возобновления выводов вслед за взломом на 387,5 млн долларов. По данным DeFiLlama, баланс снизился с 35 412 BTC до примерно 30 770 BTC. По текущим ценам это снижение соответствовало примерно 391 млн долларов в биткоине. 28 сентября генеральный директор Грейси Чен сообщила, что к 17:00 UTC+8 Bitget обработала 9 585 заявок на вывод на общую сумму 4 098,036 BTC. Снижение отслеживаемых резервов превысило объем биткоина, который, по словам Чен, Bitget обработала по заявкам клиентов на вывод. DeFiLlama отслеживает активы в кошельках, отнесенных к биржам. Изменения баланса также могут отражать перемещения средств между кошельками или различия в охвате адресов, а не только выводы клиентов. Быстрый отток стал первым признаком реакции пользователей после того, как Bitget заморозила вывод средств на четыре дня, расследуя крупнейший инцидент с безопасностью за восьмилетнюю историю компании. Bitget возобновила вывод биткоина в 08:00 UTC 28 сентября после дополнительных проверок инфраструктуры вывода средств. Вывод Ethereum планировалось возобновить 29 сентября. Вывод USDT планировалось возобновить 30 сентября. Вывод других токенов, а также фиатные операции и одноранговые сервисы планировалось возобновить 2 октября. Bitget стремилась заверить клиентов, что атака не скомпрометировала ее приватные ключи или резервы в холодных кошельках. Чен сообщила, что завершенная внутренняя проверка установила: злоумышленники воспользовались уязвимостями в продуктах третьих сторон, чтобы получить внутренние учетные данные. По словам Чен, затем злоумышленники использовали эти данные для отправки мошеннических распоряжений на вывод средств, обходивших системы контроля рисков Bitget. Чен сообщила, что Bitget изолировала затронутые системы. Она сказала, что биржа отозвала и перевыпустила внутренние учетные данные, а также изменила порядок доступа к критически важной инфраструктуре. Bitget отключила затронутую функциональность стороннего продукта, пока поставщик работает над исправлением. Среди блокчейн-компаний по кибербезопасности, помогавших проводить криминалистический анализ и отслеживать похищенные активы, были Mandiant и SlowMist. Ранее Bitget сообщала, что инцидент затронул критически важную внутреннюю систему инфраструктуры ее кошельков. Биржа заявила, что устранила уязвимость до возобновления выводов. Bitget сообщила, что клиенты не понесут убытков из-за инцидента. Компания заявила, что дефицит покроет ее Фонд защиты. Чен сказала, что Bitget планирует в течение недели пополнить фонд за счет собственных средств до суммы свыше 300 млн долларов. Возвращать похищенные средства становилось все сложнее, поскольку активы дробили и перемещали через мосты, кросс-чейн-протоколы и сервисы обеспечения конфиденциальности. Исследователь ZachXBT заявил, что китайские участники нелегального оборота отмывают доходы от эксплойта от имени хакеров, предположительно связанных с Северной Кореей. По словам ZachXBT, средства перемещались между блокчейнами и поступали в сервисы смешивания, в том числе Wasabi. ZachXBT связал одного из участников сети по отмыванию с перемещениями средств после эксплойта Kelp DAO на 292 млн долларов ранее в этом году. Он сказал, что наблюдал сходное поведение после нескольких атак, приписываемых кампании TraderTraitor. Отмывание средств поставило THORChain в центр спора о том, должна ли инфраструктура без разрешений вмешиваться, когда через ее системы проходят похищенные активы. THORChain заявила, что не будет выборочно блокировать кошельки или обмены. Сеть сравнила свою роль с ролью устойчивых к цензуре сетей, таких как Bitcoin и Ethereum. GoPlus оспорила это сравнение. Компания по кибербезопасности заявила, что архитектура THORChain наделяет операторов узлов полномочиями, которых нет у валидаторов базового уровня. GoPlus указала на хранилища THORChain с пороговыми подписями, где активные узлы совместно разрешают исходящие переводы. Компания сообщила, что для выдачи активов из таких хранилищ требуется подтверждающее действие по подписанию. GoPlus также сослалась на возможность приостанавливать подписание в отдельных сетях, останавливать всю сеть и управлять ею с помощью Mimir как на свидетельства того, что операторы узлов могут скоординировать вмешательство. GoPlus заявила, что сеть THORChain была остановлена в мае при локализации последствий собственного эксплойта на 10,7 млн долларов. Компания утверждала, что те же механизмы экстренного реагирования можно применить против адресов, связанных с атакующими Bitget. THORChain оспорила этот вывод. Сеть заявила, что остановка предназначена для защиты протокола и отличается от выборочной цензуры пользователя, кошелька или обмена. THORChain также сообщила, что адреса атакующих не попали в черный список во время майского инцидента. Сеть заявила, что протокол должен сохранять нейтралитет, когда через него проходят средства, о которых известно, что они похищены. GoPlus обвинила THORChain в финансовой выгоде от такой позиции. По оценке компании, через THORChain после эксплойта Bitget вывели около 101,5 BTC стоимостью примерно 8,5 млн долларов. GoPlus заявила, что еще 27,63 млн XRP стоимостью около 43 млн долларов конвертируют в биткоин. Компания также указала на роль THORChain в отмывании доходов от взлома Bybit в 2025 году. По словам GoPlus, атакующий переместил через протокол сотни тысяч ETH и принес ему миллионы долларов комиссий. Компания утверждала, что доход от комиссий создает конфликт интересов, когда операторы узлов отказываются вмешиваться в незаконные потоки средств. По мере возобновления вывода Ethereum, USDT и других активов следователи пытаются вернуть средства, которые дробят между блокчейнами и направляют через инфраструктуру, операторы которой могут отказаться их останавливать.