Po ataku hakerskim na giełdę kryptowalut Bitget przestępcy próbują z różnym skutkiem wyprać skradzione 387,5 mln USD. W tle rozgrywa się spór o ideę decentralizacji - THORChain odmówił zablokowania adresów napastników i umożliwił im przelanie milionów w bitcoinach, podczas gdy protokół NEAR Intents zatrzymał próbę transferu ponad 50 mln USD.
Do ataku hakerskiego na Bitget doszło 24 września, a jego mechanizm różnił się od klasycznego przejęcia kluczy prywatnych. Hakerzy uzyskali wysokie uprawnienia wewnętrzne, wymuszając autoryzację nieuprawnionych przelewów. Szacunki strat szybko zweryfikowano w górę - z początkowych 351,6 mln USD do 387,5 mln USD, gdy w trakcie śledztwa wykryto powiązane transfery w sieciach Zcash i TRON.
Przestępcy wyprowadzili aktywa z łańcuchów EVM, XRP Ledger, Zcash oraz TRON (m.in. w tokenach XRP, ETH, USDT, USDC, BNB, AVAX i TRX). Zarząd giełdy zaznacza jednak, że incydent uderzył wyłącznie w infrastrukturę serwerową giełdy, omijając zimne portfele oraz niezależną aplikację Bitget Wallet.
Znany analityk blockchain, występujący pod pseudonimem ZachXBT, wskazał, że wzorzec prania pieniędzy, użyte konta oraz infrastruktura są identyczne ze schematem działań grupy TraderTraitor. Pod taką nazwą amerykańskie FBI kataloguje północnokoreańskich hakerów, którym przypisywano m.in. ataki na Kelp DAO (292 mln USD strat) czy DMM Bitcoin (308 mln USD strat). Prezes Bitget Gracy Chen określiła udział Korei Północnej jako "bardzo prawdopodobny".
Dwie filozofie DeFi
Po udanym ataku hakerzy przenieśli środki do swoich portfeli i przystąpili do prób ich wyprania. W przypadku większości kryptowalut nie jest to proste zadanie - każdy transfer zostawia ślad na blockchainie i trzeba się postarać, żeby "zgubić trop". Jednym ze sposobów jest przeskakiwanie między łańcuchami. Szybka zamiana aktywów z jednego blockchaina na inny (np. ETH na BTC, TRX czy XRP) za pomocą zdecentralizowanych giełd lub mostów oraz bezobsługowych protokołów wymiany, pozwala zerwać prostą linię śledzenia środków w analizie on-chain. Przykładem takich bezobsługowych protokołów są THORChain i NEAR Intents.
NEAR udaremnił próby transferu ponad 50 mln USD należących do hakerów Bitget. Zautomatyzowany system ochrony "SHIELD", wyłapujący anomalie w przepływach oraz dane od zewnętrznych agencji analitycznych, zamroził w trakcie transakcji 503 tys. USD, podczas gdy przez sieć zdołało przejść jedynie ok. 166 tys. USD. Zarządzający usługą Alex Shevchenko wezwał Bitget do kontaktu oficjalną ścieżką prawną w celu zwrotu środków, deklarując jednoczesne zrzeczenie się nagrody za ich wyśledzenie.
Inaczej postąpił zdecentralizowany protokół THORChain. Mimo oficjalnego apelu prezes Bitget, Gracy Chen, o zablokowanie znanych adresów przestępców, THORChain odmówił stworzenia czarnej listy. W efekcie hakerzy bez przeszkód przelali tam co najmniej 2390 ETH (ok. 6,3 mln USD) zamieniając je na bitcoiny w 27 udanych transakcjach. Zespół THORChain skomentował, że mechanizmy zatrzymania sieci służą wyłącznie ochronie samego protokołu, a nie selektywnemu blokowaniu konkretnych portfeli.
Wpadka chińskich praczy
ZachXBT podał, że za operacją prania kryptowalut stoją chińscy pośrednicy pracujący na rzecz północnokoreańskich grup hakerskich. Przestępcy po nieudanych próbach wymiany XRP na bitcoiny szukali pomocy technicznej na publicznych serwerach Discord i Telegram sieci THORChain oraz SwapKit, skarżąc się na uwięzione środki.
Gdy zamiana skradzionego XRP na bitcoiny utknęła w sieci, hakerzy zaczęli skarżyć się obsłudze. Użytkownik o pseudonimie "Cc" pisał, że z wysłanych 277 tys. XRP otrzymał ułamek kwoty, a inny żalił się, że strata "spowoduje ogromne kłopoty w jego życiu". Moderatorzy SwapKit odpowiedzieli na te roszczenia zdjęciem Kim Dzong Una.
Analityk powiązał jedno z tych discordowych kont ("lolo") bezpośrednio z kwietniowym atakiem na Kelp DAO (292 mln USD) i wskazał na identyczną cyfrową linię papilarną, jaką FBI przypisuje grupie TraderTraitor.
Bitget wdraża etapowy plan wznawiania usług. Wypłaty w Bitcoinie ruszyły 28 września, w Ethereum 29 września, a w USDT mają powrócić 30 września. Pełna funkcjonalność platformy ma zostać przywrócona 2 października, choć do tej pory emitenci stablecoinów Circle i Tether zdołali zablokować zaledwie ok. 320 tys. USD ze skradzionej puli.
Michał Misiura
