Adressen die verbonden zijn aan de Bitget-exploiteur zijn begonnen met het verplaatsen van circa 2.700 ZEC, ter waarde van $3,8 miljoen, naar Zcash' Ironwood shielded pool, waarmee de fondsen die bij de inbreuk op de beurs van 24 september zijn gestolen in een extra privacylaag worden gewikkeld.

De transacties vertegenwoordigen ongeveer 14% van de 18.900 ZEC die uit de hot-walletinfrastructuur van Bitget is gestolen. Onderzoekers identificeerden drie Ironwood-stortingen op het moment dat de fondsen zich begonnen terug te trekken van het openbare adres dat in verband met de aanval werd gepubliceerd.

On-chain onderzoeker ZachXBT omschreef de wallets als toebehorend aan vermeende aanvallers met banden met Noord-Korea. Bitget heeft de inbreuk nog niet formeel aan Noord-Korea toegeschreven, en het forensisch onderzoek loopt nog door met Mandiant en SlowMist betrokken. Hackingeenheden met banden met Noord-Korea zijn de afgelopen jaren door onderzoekers en autoriteiten in verband gebracht met een reeks grote cryptodiefstallen, al volgt formele toerekening bij lopende zaken doorgaans pas nadat het forensisch onderzoek is afgerond.

De ZEC vormt deel van een inbreuk die wordt geschat op ongeveer $388 miljoen, die hot- warm-wallets trof over Zcash, Ethereum en verschillende EVM-netwerken, de XRP Ledger en TRON. Het eindbedrag steeg van de aanvankelijk geïdentificeerde $351,6 miljoen nadat extra Zcash- en TRON-transacties als deel van het incident werden aangemerkt.

Ironwood versluiert het spoor voorbij de storting

Zcash activeerde Ironwood op 28 juli als onderdeel van de NU6.3-netwerkupgrade. De pool verving Orchard als de belangrijkste shielded pool van het netwerk nadat eerder dit jaar een kwetsbaarheid in de onderbouwing werd ontdekt.

Afgeschermde Zcash-transacties versleutelen de adressen en transactiebedragen die anders openbaar zichtbaar zouden zijn. Zodra ZEC de shielded pool binnenkomt, bevat de publieke blockchain niet langer voldoende informatie om het daaropvolgende betalingspad te reconstrueren, tenzij een deelnemer aanvullende openbaarmaking verstrekt — een stap die Zcash mogelijk maakt via viewing keys, waarmee transactiedeelnemers auditors of onderzoekers read-only inzicht kunnen geven in afgeschermde activiteit.

De drie geïdentificeerde stortingen bevestigen daarmee dat de gestolen ZEC Ironwood is binnengekomen, maar publieke chain-analyse alleen kan dezelfde munten niet volgen door latere afgeschermde transacties op de manier waarop dat kan bij openbare Zcash-adressen.

Ongeveer 16.200 ZEC van de oorspronkelijke 18.900 ZEC valt buiten de 2.700 ZEC die in de laatste shielding-activiteit is geïdentificeerd, hoewel aanvullende bewegingen die balans kunnen veranderen.

Herstelinspanning omvat meerdere netwerken

De Zcash-beweging komt terwijl Bitget blijft proberen fondsen te bevriezen of terug te vorderen over meerdere chains en liquiditeitsroutes. De beurs heeft een beloning van 5% uitgeloofd voor vrijwillige hulp die er rechtstreeks toe leidt dat gestolen assets worden bevroren of teruggegeven.

Pogingen om andere delen van de fondsen te stoppen hebben al de grenzen van cross-chain herstel blootgelegd. THORChain wees verzoeken af om adressen die met de diefstal zijn verbonden te beperken, wat een bredere decentralisatiedebat opriep over of door validators beheerde protocollen zouden moeten ingrijpen wanneer openbaar geïdentificeerde gestolen assets hun infrastructuur passeren.

Bitget's Protection Fund bevatte meer dan $464 miljoen toen de inbreuk plaatsvond en is aangewezen om de financiële impact voor gebruikers op te vangen. BTC- en ETH-opnames zijn al hervat, USDT-opnames gingen op 30 september weer open, en de resterende token-, fiat- en P2P-opnames zijn gepland voor 2 oktober.

De laatste Ironwood-transacties laten ongeve 16.200 ZEC van de oorspronkelijke gestolen Zcash-balans buiten de geïdentificeerde afgeschermde stortingen, terwijl het tracerings- en herstelwerk aan de andere assets uit de inbreuk voortduurt. Of Bitget overgaat tot formele toerekening zodra de bevindingen van Mandiant en SlowMist binnen zijn, blijft een van de open vragen in deze zaak.