De XRP uit de Bitget-inbreuk ligt niet langer waar het eerst terechtkwam. Een analyse van CoinDesk van XRP Ledger-gegevens toonde aan dat tegen 12:41 UTC op 26 september ongeveer 54 miljoen XRP de vijf oorspronkelijke rekeningen had verlaten die waren gebruikt om de Bitget-buit vast te houden. Twee rekeningen die aanvankelijk elk 20 miljoen XRP bevatten, waren teruggebracht tot circa 23 en 55 XRP, terwijl een derde nog ongeveer 5,8 miljoen XRP aanhield.

Ongeveer 49 miljoen XRP, ten tijde van de gebeurtenissen ter waarde van bijna $75 miljoen, bleef op die eerste vijf rekeningen staan. Dat cijfer telt alleen de oorspronkelijke holdingrekeningen: fondsen die deze verlaten, kunnen zich nog steeds onder controle van de aanvaller bevinden in nieuw aangemaakte wallets, en de ledger alleen kan niet tonen hoeveel van de verplaatste voorraad binnen het bereik van de aanvaller blijft. De centrale on-chain vraag is of de XRP uiteindelijk een dienst bereikt die kan identificeren en stopzetten wie deze controleert.

De vijf oorspronkelijke wallets tonen alleen de eerste fase

Om begrijpen wat het bedrag van $83 miljoen feitelijk meet, is het nuttig om de oorspronkelijke diefstal te scheiden van de latere herverdeling. Openbare blockchain-gegevens tonen dat op 24 september ongeveer 103 miljoen XRP twee aan Bitget gelinkte XRPL-rekeningen verliet en aankwam op het adres rwNhefsz1UQEusxhCvHip3RANinWi4CTck. Arkham heeft dat adres ondergebracht in zijn Bitget Hacker-entiteit. De fondsen werden vervolgens verdeeld over vijf holdingrekeningen.

Dat patroon in twee fasen — eerst consolidatie, daarna herverdeling — is een veelvoorkomende vorm van witwassen na exchange-inbreuken, en het markeert de grens tussen wat openbare ledger-gegevens kunnen vaststellen en wat niet. De splitsing bevestigt waar de XRP als eerste naartoe ging. Op zichzelf kan het niet aantonen of elk later adres toebehoort aan dezelfde operateur, een witwas-tussenpersoon of een exchange-klant. Elke transactie een "cash-out" noemen, zou de bewijslast overschatten. Een verplaatsing tussen door de aanvaller gecontroleerde wallets creëert op zichzelf geen nieuwe verkoopdruk; verkopen worden pas een concreet risico wanneer de route een gecentraliseerde exchange, OTC-desk, instant-swap-dienst of een andere gateway bereikt die XRP kan omzetten in een ander actief of fiatgeld.

Ripple kan een native XRP-balans niet bevriezen

De beperking zit ingebouwd in hoe de XRP Ledger zijn native asset behandelt. XRP is geen uitgegeven token en heeft geen issuer die een account op een zwarte lijst kan plaatsen. De XRPL-documentatie stelt dat freeze-functies gelden voor uitgegeven tokens die via trust lines worden aangehouden, niet voor XRP zelf. Ripple, de XRPL Foundation en validators hebben daarom geen ingebouwde bevoegdheid om deze native-XRP-rekeningen als bevroren te markeren, en een normale betaling van een rekening met voldoende XRP blijft geldig onder de huidige regels van de ledger.

Traceerbaarheid is geen controle. De XRP Ledger maakt elke transactie openbaar, maar die transparantie geeft Ripple niet de bevoegdheid om native XRP op een andere rekening in beslag te nemen of te blokkeren.

Het contrast is zichtbaar in het stablecoin-deel van dezelfde inbreuk. CoinDesk meldde dat Circle en Teter ongeveer $320.000 aan USDC en USDT hebben bevroren die aan het incident waren gekoppeld. Die activa hebben controles op issuer-niveau met zwarte lijsten. Native XRP niet, en juist die asymmetrie verklaart waarom de twee delen van dezelfde inbreuk zulke verschillende herstelpaden hebben gevolgd.

Het belangrijkste ingrijppunt is de exchange-storting

Zodra XRP een door een exchange gecontroleerd adres bereikt, verschuift de kwestie van protocolregels naar custodiale controle. De exchange kan een gelabelde XRP-storting koppelen aan een klantrekening, opnames of handel stopzetten, gegevens bewaren en met onderzoekers samenwerken. Op dat moment hangt de uitkomst af van de eigen controles van het platform in plaats van van de regels van de ledger.

Het onderscheid is met name relevant op de XRP Ledger omdat grote exchanges doorgaans gedeelde deposit-wallets gebruiken. Een destination tag vertelt de exchange welke interne klantrekening een betaling moet ontvangen. De tag is geen openbaar bewijs van iemands identiteit, maar het creëert een punt waar het platform een on-chain storting kan matchen met de eigen klantgegevens.

Een publieke XRPL-analyse van 25 september spoorde één route van een oorspronkelijke holdingrekening via tussenliggende adressen richting de deposit-infrastructuur van Binance en MEXC. Dat bewijst niet dat deze exchanges alle latere transacties hebben ontvangen of gecrediteerd, en geen van beide platforms zou zonder openbare bevestiging als fondsbevriezend moeten worden beschreven. Het toont wel waarom on-chain waarschuwingen belangrijk zijn voordat een grote balans een uitgang bereikt.

De holdingrekeningen worden snel geleegd

Die exchange-controlepost wordt urgenter omdat de oorspronkelijke holdingrekeningen snel leeglopen. Ze bevatten rond 04:32 UTC op 26 september ongeveer 70 miljoen XRP; ruim acht uur later was die balans gedaald tot circa 49 miljoen XRP, volgens de analyse van CoinDesk. In een ander zichtbaar detail slaagde één rekening er niet in om ongeveer 521.000 XRP te versturen wegens een tekort aan fondsen; een tweede rekening stuurde een identiek bedrag ongeveer een uur later naar de beoogde ontvanger.

Dat patroon ondersteunt de conclusie dat de fondsen actief worden herverdeeld. Het legt niet de reden van elke transactie vast, of een specifieke wallet toebehoort aan een witwasdienst, of hoeveel XRP de markt heeft bereikt. Die vragen vereisen bewijs dat verder gaat dan de ledger zelf.

Wat vanuit de ledger nog steeds te volgen is, is concreet: het tempo van verdere uitstromen uit de holdingrekeningen, de omvang van wat resteert, en of een bestemmingsadreseenkomt met bekende exchange-deposit-infrastructuur.

Het doorslaggevende moment is niet de volgende transactie tussen anonieme wallets. Het is het eerste punt waarop een traceerbare XRP-balans een dienst binnenkomt die weet wie de rekening controleert en kan voorkomen dat deze opnieuw vertrekt.

Dit artikel wordt uitsluitend ter informatie verstrekt en vormt geen financieel, beleggings- of juridisch advies. On-chain saldi's, wallet-labels en exchange-acties kunnen zich snel wijzigen naarmate het onderzoek vordert.