Des adresses liées à l'exploiteur de Bitget ont commencé à déplacer environ 2 700 ZEC, d'une valeur de 3,8 millions de dollars, vers le pool blindé Ironwood de Zcash, enveloppant dans une couche de confidentialité supplémentaire les fonds volés lors de la faille du 24 septembre sur la plateforme.

Ces transferts représentent environ 14 % des 18 900 ZEC pris dans l'infrastructure des portefeuilles chauds de Bitget. Les enquêteurs ont identifié trois dépôts Ironwood alors que les fonds commençaient à quitter l'adresse transparente publiée en lien avec l'attaque.

L'enquêteur on-chain ZachXBT a décrit ces portefeuilles comme appartenant à des attaquants présumés liés à la Corée du Nord. Bitget n'a pas formellement attribué la faille à la Corée du Nord, et l'enquête judiciaire se poursuit avec la participation de Mandiant et SlowMist. Des unités de piratage liées à la Corée du Nord ont été impliquées par des chercheurs et des autorités dans une série de vols majeurs de cryptomonnaies ces dernières années, bien que l'attribution formelle dans les affaires en cours suive généralement l'achèvement des analyses judiciaires.

Le ZEC fait partie d'une faille estimée à environ 388 millions de dollars, qui a touché des portefeuilles chauds et tièdes sur Zcash, Ethereum et plusieurs réseaux EVM, le XRP Ledger et TRON. Le montant final est passé des 351,6 millions de dollars initialement identifiés après que des transferts supplémentaires en Zcash et TRON ont été classés dans cet incident.

Ironwood obscurcit la piste au-delà du dépôt

Zcash a activé Ironwood le 28 juillet dans le cadre de sa mise à jour réseau NU6.3. Le pool a remplacé Orchard comme principal pool blindé du réseau après la découverte d'une vulnérabilité de solidité plus tôt cette année.

Les transactions Zcash blindées chiffrent les adresses et les montants des transactions qui seraient sinon visibles publiquement. Une fois le ZEC entré dans le pool blindé, la blockchain publique ne contient plus assez d'informations pour reconstuer le chemin de paiement ultérieur, sauf si un participant fournit des informations supplémentaires — une démarche que Zcash facilite grâce aux clés de visualisation, qui permettent aux participants d'une transaction de partager une visibilité en lecture seule de l'activité blindée avec des auditeurs ou des enquêteurs.

Les trois dépôts identifiés confirment donc que le ZEC volé est entré dans Ironwood, mais l'analyse de la chaîne publique seule ne peut pas suivre les mêmes pièces à travers des transferts blindés ultérieurs, contrairement au suivi possible des adresses Zcash transparentes.

Environ 16 200 ZEC des 18 900 ZEC initiaux restent en dehors des 2 700 ZEC identifiés dans la dernière activité de blindage, bien que des mouvements supplémentaires puissent modifier ce solde.

L'effort de récupération s'étend sur plusieurs réseaux

Ce mouvement en Zcash intervient alors que Bitget poursuit ses efforts pour geler ou récupérer des fonds sur plusieurs chaînes et routes de liquidité. La plateforme a offert une prime de 5 % pour toute assistance volontaire aboutissant directement au gel ou au retour d'actifs volés.

Les tentatives pour bloquer d'autres portions des fonds ont déjà exposé les limites de la récupération inter-chaînes. THORChain a rejeté les demandes de restriction des adresses liées au vol, déclenchant un débat plus large sur la décentralisation concernant la question de savoir si les protocoles exploités par des validateurs doivent intervenir lorsque des actifs volés publiquement identifiés transitent par leur infrastructure.

Le Fonds de Protection de Bitget détenait plus de 464 millions de dollars au moment de la faille et a été désigné pour absorber l'impact financier pour les utilisateurs. Les retraits BTC et ETH ont déjà repris, les retraits USDT ont rouvert le 30 septembre, et les retraits restants de jetons, de monnaies fiduciaires et P2P sont programmés pour reprendre le 2 octobre.

Les dernières transactions Ironwood laissent environ 16 200 ZEC du solde initial de Zcash volé en dehors des dépôts blindés identifiés, tandis que les travaux de traçage et de récupération se poursuivent sur les autres actifs pris lors de la faille. La question de savoir si Bitget passera à une attribution formelle une fois les conclusions de Mandiant et SlowMist disponibles demeure l'une des questions ouvertes de cette affaire.