Blockchainbeveiligingsbedrijf BlockSec heeft de beweging van gelden gevolgd die bij de Bitget-hack zijn gestolen en meldt dat ongeveer $387,5 miljoen via Bitcoin, het THORChain cross-chain protocol en een dienst die CoinJoi wordt genoemd, is geleid. De sporenkaart toont een obfuscatiepatroon dat inmiddels gebruikelijk is bij grootschalige hacks op exchanges: on-chain activa converteren, over ketens wisselen en vervolgens het spoor versplinteren.

Wat BlockSec's trace onthulde

Volgens de gerapporteerde analyse van BlockSec bleven de gestolen Bitget-gelden niet stilzitten. De aanvaller bracht activa onder in Bitcoin, gebruikte THORChain als cross-chain routeringslaag en leidde de gelden door CoinJoi. Elke stap dient een eigen doel bij het verbreken van de on-chain link tussen de oorspronkelijke diefstal en een eventuele latere cash-out.
THORChain maakt native cross-chain swaps mogelijk zonder wrapped tokens of gecentraliseerde bridges, waardoor het technisch een effectief instrument is om waarde tussen ketens te verplaatsen. Na de hack verwierp de governance van THORChain een voorstel om de adressen van de Bitget-hacker op een zwarte lijst te zetten, een besluit dat reacties uitlokte van Ethereum-medegrondlegger Vitalik Buterin en het debat aanscherpte over de vraag of gedecentraliseerde protocollen verantwoordelijkheid dragen voor het filteren van gestolen gelden. Dat debat past in een langere regelgevende lijn: in 2022 sanctioneerde het Office of Foreign Assets Control van het Amerikaanse ministerie van Financiën de Bitcoin-mixer Blender.io en het op Ethereum gebaseerde mixingprotocol Tornado Cash vanwege hun gebruik bij het witwassen van hackbuit, maatregelen die een blijvend juridisch debat openden over hoe ver sancties kunnen doorlopen in open-source toestemmingsvrije protocollen.

Apart daarvan identificeerde het blockchainanalysebedrijf AMLBot een kleiner deel van de bewegingen: 4 BTC uit de Bitget-hack werd herleid naar Wasabi CoinJoin, een Bitcoin-privacytool die transacties mixt om de verbanden tussen inputs en outputs te verhullen. De verwijzing naar CoinJoi in BlockSec's trace kan verband houden met dezelfde mixing-activiteit, al bevestigt het onderzoeksrapport niet of CoinJoi en Wasabi CoinJoin dezelfde dienst of afzonderlijke stappen in de keten betreffen.

De grenzen van wat tracing vaststelt

Tracing bevestigt waargenomen activabewegingen; het stelt de uiteindelijke bestemming niet vast. De gerapporteerde analyse van BlockSec toont waar de gelden naartoe zijn gegaan, niet of ze zijn teruggevorderd, bevroren door exchanges of omgezet in fiat. Dat zijn afzonderlijke vragen die afhangen van de vraag of een gecentraliseerde dienst in de keten met onderzoekers heeft samengewerkt. Dat is tegelijk wat tracing bruikbaar maakt: de praktische waarde ligt in het identificeren van knelpunten waar fondsen nog kunnen worden onderschept, terwijl toestemmingsvrije segmenten van de route grotendeels buiten de controle van één partij vallen.

Niet alle gestolen gelden bereikten onopgemerkt anonieme protocollen. NEAR Intents meldde ongeveer $50 miljoen aan Bitget-hackstromen te hebben geblokkeerd, de grootste afzonderlijke onderschepping in de gerapporteerde geldstroom. Daarmee bleef het grootste deel van de resterende $387,5 miljoen bewegen via kanalen waar ingrijpen niet beschikbaar was of werd geweigerd.

Bitget begon zelf de toegang van gebruikers tot hun gelden te herstellen. Bitcoin-opnames werden hervat nadat de hacker ETH had omgewisseld via THORChain, waarna de Ether-opnames zouden volgen. De volgorde suggereert dat Bitget prioriteit gaf aan het herstellen van de BTC-liquiditeit zodra de aanvaller het op ETH luidende deel van de buit al van het platform had verplaatst.

Wat de route betekent voor on-chain forensisch onderzoek

De Bitcoin–THORChain–CoinJoi-route weerspiegelt een patroon dat bij andere grote exchangehacks is waargenomen: een toestemmingsvrij cross-chain protocol gebruiken om het activaspoor bij de ketengrens te doorbreken en daarna een coin-mixing-stap toe te passen om de Bitcoin-UTXO's te versplinteren. Voor on-chain forensische teams vereist deze combinatie analyse over ten minste twee ketens en probabilistische UTXO-clustering, in plaats van simpelweg adressen te volgen.

Het bedrag van $387,5 miljoen zou, indien juist, dit incident sch onder de grotere diefstallen van één exchange uit recente jaren. BlockSec's trace is de vroegste publieke verantwoording van de geldstromen, maar het volledige beeld van hoeveel uiteindelijk terugvorderbaar, bevroren of gewitwasd is, hangt af van berichtgeving van exchanges en analysebedrijven in de weken en maanden die komen. Onder de open vragen: of aanvullende diensten langs de route actie ondernemen om fondsen te bevriezen, en of het governancebesluit om niet tot blacklisting over te gaan nieuwe regelgevende aandacht vestigt op toestemmingsvrije cross-chain infrastructuur.

Disclaimer: Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Markten voor cryptovaluta en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd eigen onderzoek voordat u beslissingen neemt.