Blockchainbeveiligingsbedrijf BlockSec heeft gelden van een gemelde diefstal van $387,5 miljoen in verband met Bitget gevolgd via Bitcoin, het THORChain cross-chain protocol en CoinJoin mixingdiensten, waarmee een obfuscatieroute in kaart is gebracht die meerdere netwerken en privacytools omvat.

Belangrijkste punten

• BlockSec stelde vast dat gestolen gelden met een totale waarde van circa $387,5 miljoen na de gemelde Bitget-exploit werden gerouteerd via Bitcoin, THORChain en CoinJoin.
• THORChain weigerde walletadressen die aan de geldstromen waren gelinkt te blokkeren, met verwijzing naar zijn permissionless ontwerp.
• Afzonderlijk onderzoek door AMLBot bevestigde het CoinJoin spoor en volgde 4 BTC van de hack naar Wasabi CoinJoin.

Wat BlockSecs geldsporen aan het licht brachten

De gemelde diefstal, met een totale waarde van circa $387,5 miljoen, behoort tot de grootste aan exchange gerelateerde exploits die dit jaar zijn geregistreerd. BlockSecs on-chain analyse toonde aan dat gestolen activa werden omgezet en via Bitcoin werden gerouteerd voordat ze door extra lagen gingen die zijn ontworpen om terugvordering te bemoeilijken.

THORChain, een gedecentraliseerd cross-chain liquiditeitsprotocol, verscheen in het gevolgde pad als brug tussen activatypen. Het protocol weigerde vervolgens de walletadressen te blokkeren die aan de $387,5 miljoen aan Bitcoin-bewegingen waren gekoppeld, met verwijzing naar zijn permissionless ontwerp, een beslissing die het cross-chain kanaal openliet voor verdere bewegingen. Deze weigering staat in contrast met gecentraliseerde exchanges, waar gemarkeerde stortingen door het ontvangende platform kunnen worden bevroren zodra beveiligingsonderzoekers of wetshandhavers de alarmbel luiden; permissionless protocollen voeren swaps uit via geautomatiseerde liquiditeitspools, waardoor geen enkele beheerder eenactie halverwege kan stoppen.

CoinJoin, de Bitcoin-privacytechniek die meerdere transacties samenvoegt om hun oorsprong te verhullen, werd geïdentificeerd als de laatste obfuscatielaag in de gevolgde route. In een afzonderlijke analyse volgde AMLBot 4 BTC van de Bitget-hack naar Wasabi CoinJoin, een non-custodial Bitcoin-portemonnee die CoinJoin mixing native implementeert, wat het bredere patroon bevestigt dat BlockSec identificeerde. Omdat CoinJoin de munten van een gebruiker samenvoegt met die van andere deelnemers, wordt toeschrijving aanzienlijk moeilijker zodra fondsen een mixing ronde hebben doorlopen, waardoor de grootste tracing-inspanning ligt op de pre-mixing delen van de route die BlockSec en AML al in kaart hebben gebracht.

Waarom Bitcoin, THORChain en CoinJoin ertoe doen

De route in drie fasen weerspiegelt een bekend playbook voor het witwassen van gestolen crypto: omzetten naar Bitcoin vanwege de liquiditeitsdiepte, een cross-chain brug gebruiken om het activaspoor te verbreken, en vervolgens een mixingdienst toepassen om de transactiegeschiedenis on-chain te fragmenteren. Elke laag voegt forensische complexiteit toe zonder de medewerking van één enkele custodian te vereisen.

THORChains weigering om in te grijpen benadrukt een structurele spanning in gedecentraliseerde financiering: permissionless infrastructuur kan legitieme cross-chain swaps niet onderscheiden van witwassing na een exploit zonder gecentraliseerde controles die in strijd zouden zijn met de ontwerpprincipes. Onderzoekers kunnen de bewegingen on-chain waarnemen, maar kunnen ze niet ongedaan maken of bevriezen.

Tracingbedrijven zoals BlockSec en AMLBot kunnen gelden over deze lagen heen volgen door walletadressen te clusteren en swapgebeurtenissen in kaart te brengen, maar het bevestigen van de toeschrijving van wallets aan specifieke personen vereist off-chain inlichtingen die blockchaindata alleen niet kan bieden. Waar witgewassen gelden opduiken, beïnvloedt ook de kansen op terugvordering: storting op gecentraliseerde plekken kunnen worden gemarkeerd en bevroren, terwijl activa die via mixers zijn verspreid historisch gezien veel moeilijker terug te vorderen zijn.

Bitgets reactie en status van opnames

Ondanks de omvang van de gemelde exploit nam Bitget maatregelen om de toegang van gebruikers te herstellen. De exchange hervatte BTC-opnames na de exploit van $388 miljoen en publiceerde vervolgens een gefaseerde tijdlijn voor het herstel van verdere toegang, met heropende BTC-opnames en ETH-opnames gepland voor 29 september. Opnamestops zijn een gebruikelijke beheersmaatregel voor exchanges na beveiligingsincidenten, waarbij gefaseerde herstels platforms in staat stellen uitstromen geleidelijk te heropen.

De geldstromen die BlockSec volgde waren al in gang gezet voordat Bitget het herstel van opnames had voltooid, wat betekent dat de obfuscatieroute snel werd opgezet in de uren en dagen na de eerste inbreuk — een patroon dat consistent is met andere grootschalige exchange-exploits waarbij aanvallende snelheid van obfuscatie boven transactie-efficiëntie stellen.

Disclaimer: Dit artikel is uitsluitend bedoeld voor informatieve doeleinden en vormt geen financieel of beleggingsadvies. Markten voor cryptocurrency en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd eigen onderzoek voordat u beslissingen neemt.