Bitget dichiara che circa 387,5 milioni di dollari in asset sono stati trasferiti verso indirizzi controllati dagli attaccanti in un breach di wallet il 24 settembre. I prelievi sono rimasti sospesi negli avvisi emessi fino al 25 settembre, anche se depositi e trading hanno continuato a funzionare.

Lo stesso giorno in cui il breach è stato rilevato, la banca svizzera Sygnum ha annunciato che i clienti istituzionali di Bitget potevano fare trading con collateral detenuto presso la banca anziché depositare tale collateral nei wallet di Bitget.

Il contrasto solleva una domanda dietro la promessa della custodia off-exchange: quali asset si trovano oltre la portata di un breach dei wallet di un exchange, e cosa dipende ancora dall'exchange stesso quando il trading o i prelievi vengono interrotti?

L'offerta di Sygnum è disponibile per i clienti istituzionali idonei che effettuano l'onboarding direttamente presso la banca. Nessuna delle due società ha dichiarato quanti clienti di Bitget utilizzino il servizio, o se un eventuale collateral detenuto da Sygnum fosse collegato all'incidente.

Un breach a fianco di una nuova via di custodia

Bitget ha dichiarato che i suoi sistemi hanno rilevato trasferimenti non autorizzati alle 18:31 UTC del 24 settembre. Il primo avviso indicava i fondi colpiti in circa 351,6 milioni di dollari e segnalava che il breach aveva raggiunto por dei livelli di wallet hot e warm, mentre i cold wallet erano rimasti al sicuro. Nelle architetture di exchange di questo tipo, i hot wallet connessi a internet gestiscono depositi e prelievi ordinari, i warm wallet fungono da cuscinetto intermedio, e la maggior parte delle riserve è custodita in cold storage offline.

In un aggiornamento del 25 settembre, la stima degli asset trasferiti verso indirizzi controllati dagli attaccanti è stata innalzata a circa 387,5 milioni di dollari dopo aver incluso i trasferimenti Zcash e TRON in un conteggio più completo. Bitget ha precisato che la revisione non rifletteva una nuova ondata di trasferimenti non autorizzati.

Secondo Bitget, ha identificato e risolto la vulnerabilità alla base dell'incidente e lo ha contenuto, con il supporto di Mandiant, società di cybersecurity di proprietà di Google, e dello specialista di sicurezza blockchain SlowMist nelle indagini.

L'avviso sui prelievi indicava che i prelievi erano temporaneamente non disponibili mentre depositi e trading restavano operativi, e l'exchange si è impegnato ad annunciare un piano di prelievi o un aggiornamento sullo stato entro il 26 settembre alle 04:00 UTC. Per un cliente che detiene un normale saldo su Bitget, un saldo visualizzato e la possibilità di fare trading non rappresentano di per sé una via d'uscita mentre i prelievi sono sospesi: i saldi custodial figurano nel registro interno dell'exchange e possono lasciare la piattaforma solo una volta ripristinata la funzione di prelievo.

Come funziona l'accordo con Sygnum

Sygnum ha dichiarato che i clienti istituzionali di Bitget possono utilizzare il suo servizio Protect per il trading spot e derivati mentre il collateral impegnato rimane in custodia presso Sygnum in Svizzera. Bitget replica il saldo come margine di trading. Il modello fa parte di un più ampio insieme di soluzioni di regolamento off-exchange in cui il collateral resta presso un terzo regolamentato mentre la sede di trading lo replica come margine.

La banca elenca tra il collateral idoneo Bitcoin, Ethereum, stablecoin e titoli del Tesoro statunitensi. Il processo pubblicato richiede che il cliente effettui l'onboarding con Sygnum, firmi un quadro contrattuale, apra un portafoglio Protect e impegni gli asset prima ricevere il margine dall'exchange.

Secondo la descrizione di Sygnum, il collateral è detenuto in conti segregati fuori dallo stato patrimoniale della banca ed è bankruptcy remote ai sensi della legge bancaria svizzera. Mantenere gli asset impegnati presso la banca riduce l'esposizione diretta di custodia ai wallet di Bitget, e affronta la preoccupazione che, se un exchange si trovi in difficoltà finanziarie, il collateral sia destinato a restare fuori dal suo patrimonio. Queste sono caratteristiche dell'accordo così come descritte da Sygnum.

L'annuncio è datato 24 settembre ma non indica quando l'accesso per i clienti di Bitget è divenuto operativo, né se l'integrazione abbia preceduto il breach delle 18:31 UTC o sia nata in risposta ad esso, né se qualche cliente di Bitget abbia completato l'onboarding. Non fornisce alcun saldo di collateral specifico per Bitget e non dice se asset detenuti da Sygnum siano stati coinvolti nell'incidente. Le cifre citate nel comunicato sugli asset totali di Protect e sulla quota di volume di trading di tutti gli exchange integrati non misurano l'adozione da parte dei clienti di Bitget.

I limiti della custodia e un garanzia separata

La pagina pubblica di Protect pubblicizza ricariche e prelievi flessibili di collateral. Non pubblica il contratto specifico per Bitget che determinerebbe quando gli asset impegnati possono essere rilasciati, come le posizioni vengono regolate, o cosa accade al margine se Bitget sospende il servizio di prelievo.

Un saldo di trading replicato presso un exchange non è inoltre la stessa cosa di un normale saldo prelevabile dell'exchange per un cliente. Il trading dipende ancora dai processi di ordine, margine e regolamento dell'exchange anche quando gli asset impegnati sono detenuti altrove.

La custodia segregata può ridurre l'esposizione al furto dai wallet detenuti da Bitget e all'insolvenza di Bitget, come descritto da Sygnum. Tuttavia i materiali pubblici non dimostrano che un cliente Protect possa rientrare immediatamente in possesso del collateral impegnato durante un'interruzione dell'exchange, o che i problemi operativi di un exchange non possano mai ritardare il regolamento. Essi non dimostrano altresì che qualche cliente di Sygnum sia impedite dall'accedere al proprio collateral in questo incidente. L'accordo crea un confine opzionale tra il collateral istituzionale e la custodia nei wallet di Bitget.

Per gli utenti che detengono asset su Bitget, l'exchange ha indicato il suo User Protection Fund. Nel primo avviso del 24 settembre, Bitget ha dichiarato che il fondo valeva più di 464 milioni di dollari e che l'incidente, stimato allora in 351,6 milioni di dollari, rientrava nella sua copertura.

La pagina pubblica del fondo elenca 5.500 $BTC e indica che gli utenti possono presentare richiesta per perdite qualificate derivanti da eventi a livello di piattaforma non imputabili alle proprie azioni o al proprio comportamento di trading, con Bitget che si riserva il diritto di valutare e indagare sulle richieste. Il valore in dollari di un fondo denominato in Bitcoin varia con il prezzo di Bitcoin: il rapporto di Bitget per agosto indicava una media mensile del fondo di 382 milioni di dollari e un valore di fine mese vicino a 432 milioni di dollari sulla stessa dotazione di 5.500 $BTC.

Bitget ha inoltre dichiarato di aver congelato parte degli asset colpiti grazie alla collaborazione con partner del settore, pur senza quantificare l'importo congelato o recuperato nell'aggiornamento del 25 settembre. Nel settore, tali congelamenti dipendono tipicamente dalla capacità di controparti come altri exchange ed emittenti di token di inserire in blacklist gli indirizzi controllati dagli attaccanti.

I prossimi riscontri misurabili saranno un calendario di prelievi confermato, un conteggio più solido di perdite e recuperi, e i termini di eventuale erogazione del fondo. Per il confronto sulla custodia, i dati mancanti sono l'adozione di Protect specifica per Bitget e il contratto che disciplina il rilascio del collateral e il regolamento quando l'exchange è sotto pressione.