Bitget heeft Bitcoin-opnames hersteld nadat een beveiligingsincident leidde tot een tijdelijke stopzetting, waarbij on-chain onderzoekers meldden dat een wallet die aan de aanvaller is gekoppeld Ethereum via THORChain, een gedecentraliseerd cross-chain liquiditeitsprotocol, heeft verplaatst — een patroon dat volgens hen kenmerkend is voor kapitaalverplaatsingen na een exploit.

Opnames hervat terwijl het spoorzoeken doorgaat

De beurs kondigde aan dat Bitcoin-opnames weer actief zijn na een opschorting die was doorgevoerd terwijl de beveiligingsteams de inbreuk onderzochten. Het stopzetten van opnames tijdens een lopend onderzoek na een exploit is standaardpraktijk voor beurzen: het geeft beveiligingsteams de tijd om de blootstelling van wallets te controleren en eventuele resterende ongeautoriseerde uitstromen te stoppen. Voor storers is die beschikbaarheid de praktische toets tijdens de reactie op een inbreuk — geld op een beurs kan alleen op verzoek worden verplaatst zolang opnames actief zijn. Bitget heeft niet publiekelijk gezegd of de hervatting betekent dat het beveiligingsonderzoek volledig is afgerond of alleen dat specifieke walletsegmenten zijn vrijgegeven.

Het spoorzoeken beslaat meerdere chains. Uit afzonderlijke analyse bleek dat 4 BTC van de Bitget-hack door Wasabi CoinJoin was gegaan, een Bitcoin-mixingprotocol — volgens onderzoekers een bewijs dat de aanvaller verhullingstechnieken over verschillende chains heen tegelijk heeft toegepast in plaats van alles door één kanaal te laten lopen. CoinJoin werkt door de transacties van gebruikers samen te voegen in één gezamenlijke transactie, waardoor de directe on-chain link tussen de oorsprong en de bestemming van een munt wordt verborgen — een reden waarom het sporen van gemixte munten afhankelijk is van clustering in plaats van simpel adres-naar-adres volgen.

Wat gebruikers zelf kunnen verifiëren

Ten tijde van publicatie waren geen onafhankelijk geverifieerde totalen van gestolen fondsen, specifieke walletadressen of transactie-hashes bevestigd door de beurs of door erkende on-chain forensische bedrijven. Omdat blockchain-activiteit openbaar en pseudoniem is, kan elk adres dat later wordt bekendgemaakt door iedereen in realtime worden gevolgd. Gebruikers die de fondsen zelf willen volgen, kunnen Mempool.space raadplegen voor Bitcoin-transacties en Etherscan voor Ethereum-side bewegingen gekoppeld aan openbaar gemaakte adressen van de aanvaller.

Waarom THORChain een rol speelt in de geldstromen

THORChain maakt native cross-chain swaps mogelijk zonder wrapped tokens of gecentraliseerde tussenpersonen, waardoor het een frequente stopplaats is geworden voor kapitaalverplaatsingen na een exploit. Een aanvaller die Ethereum aanhoudt, kan direct omzetten naar Bitcoin of andere ondersteunde activa zonder KYC-controlepunt, wat het plaatsen op zwarte lijsten door beurzen en het traceren van de bewijsketen bemoeilijkt.

De reactie van het protocol zelf op het incident bleek controversieel. THORChain weigerde verzoeken om wallets die aan de Bitget-hack zijn gekoppeld op de zwarte lijst te plaatsen, met een beroep op zijn neutraliteitsbeginselen — een standpunt dat reactie uitlokte van Ethereum-medestichter Vitalik Buterin over de grenzen van censuurbestendigheid wanneer gestolen fondsen betrokken zijn. De weigering benadrukt een structurele spanning in gedecentraliseerde infrastructuur: de toestemmingsvrije architectuur die tegenpartijrisico voor gewone gebruikers verlaagt, verzwakt ook de effectiviteit van reactieve bevriezingen na een inbreuk.

Swaps over chains heen via protocollen zoals THORChain veranderen bovendien een traceerprobleem op één chain in een coördinatieprobleem over meerdere chains. Het bevriezen of terugvorderen van fondsen zou gelijktijdige actie van meerdere protocolteams vereisen, waarvan geen enkel een contractuele relatie heeft met de getroffen beurs. Daarom letten onderzoekers doorgaans op bestemmingswallets bij gecentralise afwikkelingspunten in plaats van te proberen swaps halverwege te stoppen.

Wat nog onbevestigd is

Verschillende materiële details zijn bij publicatie nog niet geverifieerd: het totale volume aan ETH dat via THORChain is omgewisseld, de specifieke transactie-hashes of blokhoogten die betrokken zijn, de identiteit of toeschrijving van de aanvaller, en de volledige omvang van de getroffen activa buiten de opschorting van Bitcoin-opnames. Cijfers die in secundaire rapporten circuleren moeten als onbevestigd worden behandeld totdat Bitget of een erkend on-chain forensisch bedrijf primaire documentatie publiceert. Vanaf hier zijn de waarneembare markeringen concreet: een officiële mededeling van Bitget over of het onderzoek is afgerond, primaire documentatie die de THORChain-stromen kwantificeert, en eventuele openbaarmaking van adressen van de aanvaller — elk hiervan zou een onbevestigd item hierboven omzetten in iets dat lezers direct on-chain kunnen controleren.

Samengevat wijst het gelijktijdige gebruik van THORChain voor ETH-swaps en Wasabi CoinJoin voor Bitcoin-verhulling op een bewuste multi-protocolstrategie — een patroon dat steeds vaker wordt gezien bij exploits op beurzen, waarbij aanvallers hun activiteit over chains verspreiden om de aandacht van onderzoekers te verdelen.

Disclaimer: Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Markten voor cryptocurrency en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd uw eigen onderzoek voordat u beslissingen neemt.