هکر Bitget 4 BTC را از طریق Wasabi CoinJoin هدایت می‌کند

بر اساس گزارش شرکت تطبیق بلاکچین AMLBot، برخی از دارایی‌های مرتبط با نقض امنیتی Bitget پس از حرکت از طریق چندین بلاکچین و مسیرهای مبادله، وارد Wasabi CoinJoin شده‌اند.

خلاصه

• AMLBot تقریباً 4 BTC مرتبط با سرقت Bitget را به یک دور معامله Wasabi CoinJoin ردیابی کرده است.
• وجوه از TRON از طریق USDT0، اتریوم و THORChain قبل از رسیدن به آدرس‌های بیت‌کوین برای مخلوط کردن منتقل شدند.
• Bitget اکنون تأیید می‌کند که تقریباً 387.5 میلیون دلار به آدرس‌های تحت کنترل مهاجم در طول نقض سپتامبر منتقل شده است.
• بر اساس برآورد AMLBot، حدود 343 میلیون دلار در سیزده کیف پول مهاجم تا 25 سپتامبر غیرفعال باقی مانده است.
• Bitget برنامه‌ریزی کرده است که از 28 سپتامبر برداشت‌های مرحله‌ای را آغاز کند پس از شناسایی و رفع آسیب‌پذیری امنیتی زیرساخت.

AMLBot در تاریخ 27 سپتامبر اعلام کرد که ردیابی آن تقریباً 4 BTC را در یک دور CoinJoin به وجوهی که از یک کیف پول TRON مرتبط با Bitget نشأت می‌گیرد، متصل کرده است. این شرکت این فعالیت را به عنوان تلاشی آشکار برای پنهان کردن حرکت دارایی‌های سرقت شده توصیف کرد.

این یافته پس از آن است که Bitget ارزش دارایی‌های منتقل شده به آدرس‌های تحت کنترل مهاجم را به تقریباً 387.5 میلیون دلار اصلاح کرد. به‌روزرسانی رسمی تحقیقاتی صرافی گفت که مجموع جدید شامل دارایی‌های Zcash و TRON است که از برآورد اولیه 351.6 میلیون دلاری آن‌ها غایب بود.

به‌روزرسانی: به نظر می‌رسد وجوه سرقت شده از هک @bitget از طریق Wasabi CoinJoin (مخلوط‌کننده) شسته شده‌اند

ردیابی ما تقریباً 4 BTC را در یک دور CoinJoin به یک کیف پول TRON Bitget متصل می‌کند. وجوه از TRX به USDT مبادله شدند، از طریق @USDT0_to به اتریوم منتقل شدند، به تقریباً 145... https://t.co/8JBaoMM1xp pic.twitter.com/ncTVyeIT3S --- AMLBot (@AMLBotHQ) 26 سپتامبر 2026

وجوه Bitget از چهار شبکه قبل از CoinJoin منتقل شدند

AMLBot یک مسیر چند مرحله‌ای را که از TRON آغاز می‌شود، ردیابی کرد. بر اساس گزارش این شرکت، مهاجم ابتدا TRX را به USDT تبدیل کرد. سپس وجوه از طریق USDT0، نسخه چند زنجیره‌ای Tether که برای انتقال بین شبکه‌های پشتیبانی شده طراحی شده است، به اتریوم منتقل شدند.

پس از ورود به اتریوم، دارایی‌ها به تقریباً 145 ETH مبادله شدند. AMLBot گفت که ETH سپس از طریق THORChain منتقل شده و به حدود 4.59 BTC تبدیل شد.

سپس بیت‌کوین به مقادیر کوچکتر تقسیم شد قبل از اینکه به یک دور CoinJoin Wasabi برسد. AMLBot گفت که تحلیل آن می‌تواند تقریباً 4 BTC را در آن معامله به کیف پول TRON Bitget متصل کند.

CoinJoin ورودی‌ها و خروجی‌های بیت‌کوین را از چندین شرکت‌کننده در یک معامله واحد ترکیب می‌کند. این تکنیک می‌تواند ردیابی معاملات را دشوارتر کند زیرا ناظران بلاکچین نمی‌توانند به سادگی یک ورودی را به یک خروجی مربوطه متصل کنند.

AMLBot این فعالیت را به عنوان شستشوی از طریق Wasabi CoinJoin توصیف کرد و گفت که آدرس‌های مرتبط را در لیست سیاه قرار داده است. این شرکت به نظارت بر بیت‌کوین برای فعالیت‌های بیشتر CoinJoin ادامه می‌دهد.

نسبت‌دهی همچنان تحلیل بلاکچین AMLBot است. سوابق عمومی بلاکچین انتقالات بین آدرس‌ها، مبادلات و فعالیت‌های بین زنجیره‌ای را نشان می‌دهند، اما هدف هر معامله از جریان مشاهده شده و نسبت‌دهی آدرس استنباط می‌شود.

خلاصه‌ای از اخبار Binance که در 27 سپتامبر منتشر شد، همان توالی را تکرار کرد و به گزارش‌هایی که بر اساس ردیابی AMLBot بود، اشاره کرد.

Bitget خسارت تأیید شده را به 387.5 میلیون دلار افزایش می‌دهد

Bitget در ابتدا گفت که حادثه 24 سپتامبر تقریباً 351.6 میلیون دلار از دارایی‌ها را تحت تأثیر قرار داده است، پس از انتقال‌های غیرمجاز از بخش‌هایی از زیرساخت کیف پول داغ و گرم خود.

این صرافی فعالیت را در ساعت 18:31 UTC شناسایی کرد و برداشت‌ها را متوقف کرد در حالی که سپرده‌ها و معاملات همچنان فعال بودند. طبق اطلاعیه امنیتی اولیه Bitget، کیف پول‌های سرد ایمن باقی ماندند.

تا 25 سپتامبر، طبقه‌بندی معاملات Bitget مبلغ تأیید شده را به تقریباً 387.5 میلیون دلار افزایش داده است. این صرافی گفت که افزایش ناشی از سرقت‌های جدید پس از نقض نبوده است. محققان در عوض دارایی‌های اضافی Zcash و TRON را که در حادثه اصلی دخیل بودند شناسایی کرده‌اند.

دارایی‌های تحت تأثیر شامل ETH، XRP، USDT، USDC، USDT0، ZEC، XAUt، BNB، AVAX و TRX بودند. Bitget آدرس‌های تحت کنترل مهاجمین را در شبکه‌های سازگار با اتریوم، XRP Ledger، Zcash و TRON به عنوان بخشی از کارهای بازیابی خود منتشر کرد.

یافته‌های اولیه Bitget به سمت یک مشکل در زیرساخت کیف پول‌های پشتیبان اشاره داشت و نه نشت کلیدهای خصوصی. مدیرعامل Gracy Chen گفت که کلیدهای خصوصی ایمن باقی مانده‌اند در حالی که محققان در تلاش بودند تا مسیر دقیق نفوذ را شناسایی کنند.

Bitget بعداً اعلام کرد که تیم امنیتی آن مسیر حمله و روش استفاده شده برای دور زدن کنترل‌های موجود را شناسایی کرده است. این شرکت گفت که آسیب‌پذیری زیرساختی برطرف شده است، هرچند که هنوز گزارشی کامل از علت فنی این نفوذ به صورت عمومی منتشر نکرده است.

AMLBot می‌گوید اکثر دارایی‌های سرقت شده در حالت خواب هستند

فعالیت CoinJoin تنها بخشی کوچک از وجوه مرتبط با این نقض را نشان می‌دهد.

در به‌روزرسانی ۲۵ سپتامبر، AMLBot گفت که تقریباً ۳۴۳ میلیون دلار، که حدود ۸۸٪ از تقریباً ۳۸۹ میلیون دلار تحت پیگیری آن بود، جابجا نشده است. رقم این شرکت بر اساس آدرس‌هایی بود که به مهاجم نسبت داده شده بود.

AMLBot ۱۳ کیف پول خواب را شناسایی کرد که چندین نوع دارایی را در خود نگه‌داری می‌کردند. هشت کیف پول اتریوم تقریباً ۶۸,۳۰۰ ETH را در خود داشتند، در حالی که چهار آدرس XRP حدود ۸۳ میلیون XRP را نگه‌داری می‌کردند. یک کیف پول دیگر نزدیک به ۱۸,۹۰۰ ZEC را در خود داشت.

این شرکت گفت که هیچ‌یک از این ۱۳ آدرس از زمان دریافت وجوه، تراکنشی ارسال نکرده‌اند. به‌روزرسانی بعدی Wasabi مربوط به بخش دیگری از دارایی‌های سرقت شده است که قبلاً بین زنجیره‌ها و دارایی‌ها جابجا شده‌اند.

محققان دیگر فعالیت‌های تبدیل جداگانه‌ای را ردیابی کرده‌اند. Crypto.news در ۲۵ سپتامبر گزارش داد که محقق امنیتی Taylor Monahan شناسایی کرده است که USDC سرقت شده در حال جابجایی و تبدیل به ETH پس از حمله است.

یافته‌های او نشان داد که دارایی‌های تحت کنترل مهاجمین پس از ترک Bitget به پل و مبادله شده‌اند. این گزارش اشاره کرد که Circle می‌تواند USDC را در آدرس‌های مشخصی مسدود کند زمانی که الزامات قانونی برآورده شود، هرچند که مسیر عمومی تراکنش مشخص نکرد که آیا یک دستور قانونی واجد شرایط در آن زمان به Circle رسیده است یا خیر.

ردیابی‌های بعدی AMLBot نشان می‌دهد که بخش دیگری از جریان از TRON به اتریوم و سپس به بیت‌کوین از طریق THORChain قبل از ورود به CoinJoin عبور کرده است.

Bitget آماده بازگشایی تدریجی برداشت‌ها است

Bitget در حال آماده‌سازی برای بازگرداندن خدمات برداشت است پس از اینکه گفت آسیب‌پذیری مسئول این حادثه برطرف شده است.

برنامه برداشت این صرافی با بیت‌کوین در ساعت ۰۸:۰۰ UTC در ۲۸ سپتامبر آغاز می‌شود. برداشت‌های ETH در اتریوم، BSC، Arbitrum، Base و Optimism برای ۲۹ سپتامبر برنامه‌ریزی شده‌اند.

برداشت‌های USDT در اتریوم، BSC، سولانا و TRON برای ۳۰ سپتامبر از سر گرفته خواهند شد. سایر برداشت‌های توکن، خدمات فیات و برداشت‌های همتا به همتا انتظار می‌رود در ۲ اکتبر بازگردند.

Bitget گفت که Mandiant و SlowMist به همکاری با تحقیقات امنیتی ادامه می‌دهند در حالی که تیم‌های فنی آن کارهای اعتبارسنجی بر روی زیرساخت برداشت را انجام می‌دهند.

همانطور که crypto.news در مورد برنامه بازگشایی گزارش داد، Bitget می‌گوید که صندوق حفاظت آن خسارت مالی ناشی از این حادثه را پوشش خواهد داد و موجودی‌های حساب مشتریان بدون تغییر باقی مانده است. این صرافی گزارش داد که صندوق در طول توقف برداشت بیش از ۴۶۴ میلیون دلار را در خود نگه‌داری کرده است.

به‌روزرسانی سپتامبر Bitget در مورد اثبات ذخایر، که قبل از نقض منتشر شده بود، نشان داد که نسبت کل ذخایر ۱۳۵٪ در بین ۱۹ دارایی تحت پوشش بود. این صرافی اعلام می‌کند که حداقل نسبت ذخیره ۱:۱ برای دارایی‌های کاربران تحت پوشش این برنامه را حفظ می‌کند. مدیرعامل Gracy Chen قرار است در ساعت ۰۷:۳۰ UTC در ۲۸ سپتامبر یک AMA زنده برگزار کند که به این حادثه، بازگرداندن برداشت‌ها و مراحل بعدی صرافی می‌پردازد.