Вкрали 387 млн USD і поскаржилися в Discord. У відповідь отримали фото Кім Чен Ина

Після хакерської атаки на криптобіржу Bitget злочинці намагаються з різним успіхом відмити вкрадені 387,5 млн USD. На фоні розгортається суперечка про ідею децентралізації - THORChain відмовився заблокувати адреси нападників і дозволив їм перевести мільйони в біткоїнах, тоді як протокол NEAR Intents зупинив спробу переказу понад 50 млн USD.
фот. Andy.LIU / / Shutterstock

Атака хакерів на Bitget сталася 24 вересня, а її механізм відрізнявся від класичного захоплення приватних ключів. Хакери отримали високі внутрішні права, примусивши авторизацію несанкціонованих переказів. Оцінки збитків швидко були переглянуті вгору - з початкових 351,6 млн USD до 387,5 млн USD, коли під час розслідування були виявлені пов'язані перекази в мережах Zcash і TRON.

Злочинці вивели активи з ланцюгів EVM, XRP Ledger, Zcash та TRON (зокрема, в токенах XRP, ETH, USDT, USDC, BNB, AVAX і TRX). Однак керівництво біржі зазначає, що інцидент вдарив виключно по серверній інфраструктурі біржі, оминаючи холодні гаманці та незалежний додаток Bitget Wallet.

Відомий аналітик блокчейн, що виступає під псевдонімом ZachXBT, вказав, що шаблон відмивання грошей, використані рахунки та інфраструктура ідентичні схемі дій групи TraderTraitor. Під такою назвою американське ФБР каталогізує північнокорейських хакерів, яким приписували, зокрема, атаки на Kelp DAO (292 млн USD збитків) або DMM Bitcoin (308 млн USD збитків). Президент Bitget Грейсі Чен визначила участь Північної Кореї як "дуже ймовірну".

Дві філософії DeFi

Після успішної атаки хакери перенесли кошти до своїх гаманців і почали спроби їх відмити. У випадку більшості криптовалют це не просте завдання - кожен переказ залишає слід на блокчейні, і потрібно постаратися, щоб "загубити слід". Одним із способів є стрибки між ланцюгами. Швидка зміна активів з одного блокчейну на інший (наприклад, ETH на BTC, TRX чи XRP) за допомогою децентралізованих бірж або мостів та безкоштовних протоколів обміну дозволяє розірвати просту лінію відстеження коштів в аналізі on-chain. Прикладом таких безкоштовних протоколів є THORChain і NEAR Intents.

NEAR зірвав спроби переказу понад 50 млн USD, що належать хакерам Bitget. Автоматизована система захисту "SHIELD", що виявляє аномалії в потоках та дані від зовнішніх аналітичних агентств, заморозила під час транзакції 503 тис. USD, тоді як через мережу змогло пройти лише близько 166 тис. USD. Керівник служби Алекс Шевченко закликав Bitget зв’язатися офіційним шляхом для повернення коштів, заявивши про одночасне відмовлення від винагороди за їх відстеження.

Інакше вчинив децентралізований протокол THORChain. Незважаючи на офіційний заклик президента Bitget, Грейсі Чен, заблокувати відомі адреси злочинців, THORChain відмовився створити чорний список. В результаті хакери без перешкод перевели туди щонайменше 2390 ETH (близько 6,3 млн USD), обмінюючи їх на біткоїни в 27 успішних транзакціях. Команда THORChain прокоментувала, що механізми зупинки мережі служать виключно для захисту самого протоколу, а не для селективного блокування конкретних гаманців.

Провал китайських відмивачів

ZachXBT повідомив, що за операцією відмивання криптовалют стоять китайські посередники, які працюють на північнокорейські хакерські групи. Злочинці після невдалих спроб обміну XRP на біткоїни шукали технічну допомогу на публічних серверах Discord і Telegram мережі THORChain та SwapKit, скаржачись на заблоковані кошти.

Коли обмін вкраденого XRP на біткоїни застряг у мережі, хакери почали скаржитися обслузі. Користувач з псевдонімом "Cc" писав, що з надісланих 277 тис. XRP отримав частину суми, а інший скаржився, що втрата "спричинить величезні проблеми в його житті". Модератори SwapKit відповіли на ці претензії фото Кім Чен Іна.

Аналітик пов’язав один з цих дискордних акаунтів ("lolo") безпосередньо з квітневим нападом на Kelp DAO (292 млн USD) і вказав на ідентичний цифровий відбиток пальця, який ФБР приписує групі TraderTraitor.

Bitget впроваджує поетапний план відновлення послуг. Виплати в біткоїні розпочалися 28 вересня, в Ethereum 29 вересня, а в USDT мають повернутися 30 вересня. Повна функціональність платформи має бути відновлена 2 жовтня, хоча до цього часу емітенти стейблкоїнів Circle і Tether змогли заблокувати лише близько 320 тис. USD зі вкраденої суми.

Міхал Місіура

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.