Direcciones vinculadas al exploiter de Bitget han comenzado a mover aproximadamente 2,700 ZEC, con un valor de $3.8 millones, al pool protegido Ironwood de Zcash, envolviendo los fondos robados en la violación del 24 de septiembre del exchange en una capa adicional de privacidad.

Las transferencias representan alrededor del 14% de los 18,900 ZEC sustraídos de la infraestructura de hot wallets de Bitget. Los investigadores identificaron tres depósitos en Ironwood cuando los fondos comenzaron a salir de la dirección transparente publicada en relación con el ataque.

El investigador on-chain ZachXBT describió las billeteras como pertenecientes a atacantes supuestamente vinculados a Corea del Norte. Bitget no ha atribuido formalmente la violación a Corea del Norte, y la investigación forense sigue en curso con la participación de Mandiant y SlowMist. Unidades de hackeo vinculadas a Corea del Norte han sido señaladas por investigadores y autoridades en una serie de importantes robos de criptomonedas en los últimos años, aunque la atribución formal en casos activos generalmente sigue a la conclusión del trabajo forense.

El ZEC forma parte de una violación estimada en aproximadamente $388 millones, que afectó hot y warm wallets a través de Zcash, Ethereum y varias redes EVM, XRP Ledger y TRON. La cifra final aumentó desde los $351.6 millones inicialmente identificados después de que transferencias adicionales de Zcash y TRON fueran clasificadas como parte del incidente.

Ironwood oculta el rastro más allá del depósito

Zcash activó Ironwood el 28 de julio como parte de su actualización de red NU6.3. El pool reemplazó a Orchard como el principal pool protegido de la red después de que se descubriera una vulnerabilidad de solidez a principios de este año.

Las transacciones protegidas de Zcash cifran las direcciones y los montos de las transacciones que de otro modo serían visibles públicamente. Una vez que el ZEC entra al pool protegido, la blockchain pública ya no contiene suficiente información para reconstruir la ruta de pago posterior, a menos que un participante proporcione divulgación adicional — un paso que Zcash facilita mediante las viewing keys, que permiten a los participantes de la transacción compartir visibilidad de solo lectura de la actividad protegida con auditores o investigadores.

Los tres depósitos identificados confirman por lo tanto que el ZEC robado entró en Ironwood, pero el análisis de la cadena pública por sí solo no puede seguir las mismas monedas a través de transferencias protegidas posteriores de la forma en que puede rastrear direcciones transparentes de Zcash.

Aproximadamente 16,200 ZEC de los 18,900 ZEC originales permanecen fuera de los 2,700 ZEC identificados en la actividad de protección más reciente, aunque movimientos adicionales podrían cambiar ese balance.

El esfuerzo de recuperación abarca múltiples redes

El movimiento de Zcash se produce mientras Bitget continúa los esfuerzos por congelar o recuperar fondos en múltiples cadenas y rutas de liquidez. El ha ofrecido una recompensa del 5% por asistencia voluntaria que resulte directamente en el congelamiento o devolución de activos robados.

Los intentos de detener otras porciones de los fondos ya han expuesto los límites de la recuperación cross-chain. THORChain rechazó las solicitudes para restringir direcciones conectadas al robo, desencadenando un debate más amplio sobre la descentralización respecto a si los protocolos operados por validadores deben intervenir cuando activos robados públicamente identificados pasan por su infraestructura.

El Protection Fund de Bitget mantenía más de $464 millones cuando ocurrió la violación y ha sido designado para absorber el impacto financiero para los usuarios. Los retiros de BTC y ETH ya se han reanudado, los retiros de USDT se reabrieron el 30 de septiembre, y los retiros restantes de tokens, fiat y P2P están programados para reanudarse el 2 de octubre.

Las últimas transacciones de Ironwood dejan aproximadamente 16,200 ZEC del balance original de Zcash robado fuera de los depósitos protegidos identificados, mientras continúa el trabajo de rastreo y recuperación de los demás activos sustraídos en la violación. Si Bitget procede a una atribución formal una vez que estén listos los hallazgos de Mandiant y SlowMist sigue siendo una de las preguntas abiertas del caso.