Firma zajmująca się bezpieczeństwem blockchaina, BlockSec, prześledziła przepływ środków z rzekomej kradzieży 387,5 mln dolarów powiązanej z Bitget przez Bitcoin, protokół cross-chain THORChain oraz serwisy mikserujące CoinJoin, mapując trasę zacierania śladów obejmującą wiele sieci i narzędzi chroniących prywatność.

Kluczowe punkty

• BlockSec ustalił, że skradzione środki o łącznej wartości około 387,5 mln dolarów zostały po rzekomym ataku na Bitget przeprowadzone przez Bitcoin, THORChain i CoinJoin.
• THORChain odmówił zablokowania adresów portfeli powiązanych z przepływem środków, powołując się na swoją bezpermissionową konstrukcję.
• Niezależna analiza firmy AMLBot potwierdziła ślad CoinJoin, prześledząc 4 BTC z hacka do Wasabi CoinJoin.

Co ujawniło śledztwo BlockSec dotyczące przepływu środków

Rzekoma kradzież o łącznej wartości około 387,5 mln dolarów należy do największych ataków powiązanych z giełdami prześledzonych w tym roku. Analiza on-chain BlockSec wykazała, że skradzione aktywa zostały przekonwertowane i przeprowadzone przez Bitcoin, zanim przeszły przez kolejne warstwy mające utrudnić działania odzyskowe.

THORChain, zdecentralizowany protokół płynności cross-chain, pojawił się na prześledzonej trasie jako most między typami aktywów. Protokół następnie odmówił zablokowania adresów portfeli powiązanych z przepływem 387,5 mln dolarów w Bitcoinie, powołując się na swoją bezpermissionową konstrukcję — decyzja ta pozostawiła kanał cross-chain otwarty na dalsze transfery. Odmowa ta kontrastuje z giełdami scentralizowanymi, gdzie oflagowane depozyty mogą zostać zamrożone przez platformę przyjmującą, gdy tylko badacze bezpieczeństwa lub organy ścigania podniosą alarm; protokoły bezpermissionowe wykonują zamiany za pośrednictwem zautomatyzowanych puli płynności, nie pozostawiając żadnego operatora capable zatrzymania transakcji w trakcie jej realizacji.

CoinJoin, technika prywatności Bitcoina polegająca na łączeniu wielu transakcji w celu zatarcia ich pochodzenia została zidentyfikowana jako finalna warstwa zacierania śladów na prześledzonej trasie. W osobnej analizie AMLBot prześledził 4 BTC z hacka na Bitget do Wasabi CoinJoin — niepowierniczego portfela Bitcoin implementującego natywnie mikserowanie CoinJoin — co potwierdziło szerszy wzorzec zidentyfikowany przez BlockSec. Ponieważ CoinJoin łączy monety użytkownika ze środkami innych uczestników, atrybucja staje się znacznie trudniejsza, gdy środki przejdą rundę mikserowania, co przenosi największy ciężar śledztwa na odcinki trasy sprzed mikserowania, które BlockSec i AMLBot już zmapowały.

Dlaczego Bitcoin, THORChain i CoinJoin mają znaczenie dla śledztwa

Trójstopniowa trasa odzwierciedla rozpoznawalny scenariusz prania skradzionych kryptowalut: konwersja na Bitcoin ze względu na głębokość płynności, wykorzystanie mostu cross-chain w celu zerwania śladu aktywów, a następnie zastosowanie serwisu mikserującego w celu rozfragmentowania historii transakcji on-chain. Każda warstwa dodaje złożoności śledczej, nie wymagając współpracy żadnego pojedynczego powiernika.

Odmowa interwencji THORChain uwypukla strukturalne napięcie w zdecentralizowanych finansach: infrastruktura bezpermissionowa nie potrafi odróżnić legalnych zamian cross-chain od prania środków po ataku bez scentralizowanych mechanizmów kontrolnych, które stałyby w sprzeczności z jej zasadami konstrukcyjnymi. Śledczy mogą obserwować przepływ środków on-chain, ale nie mogą go odwrócić ani zamrozić.

Firmy śledzące, takie jak BlockSec i AMLBot, mogą podążać za środkami przez te warstwy poprzez grupowanie adresów portfeli i mapowanie zdarzeń zamiany, jednak potwierdzenie przypisania portfeli konkretnym osobom wymaga informacji off-chain, których same dane blockchaina nie dostarczają. O tym, gdzie wyprane środki ponownie się pojawiają, zależą również szanse odzysku: depozyty trafiające na platformy scentralizowane mogą zostać oflagowane i zamrożone, natomiast aktywa rozproszone przez miksery historycznie okazują się znacznie trudniejsze do odzyskania.

Reakcja Bitget i status wypłat

Mimo skali rzekomego ataku Bitget przystąpił do przywracania dostępu użytkowników. Giełda wznowiła wypłaty BTC po ataku o wartości 388 mln dolarów, a następnie opublikowała etapowy harmonogram dalszego przywracania dostępu — wypłaty BTC zostały ponownie otwarte, a wypłaty ETH zaplanowano na 29 września. Zawieszenie wypłat to rutynowy środek ograniczający ryzyko stosowany przez giełdy po incydentach bezpieczeństwa, a etapowe przywracanie pozwala platformom stopniowo otwierać wypływy środków.

Przepływ środków prześledzony przez BlockSec był już w toku, zanim Bitget zakończył przywrac wypłat, co oznacza, że trasa zacierania śladów została ustanowiona błyskawicznie w godziny i dni po początkowym naruszeniu bezpieczeństwa — wzorzec zgodny z innymi dużymi atakami na giełdy, w których sprawcy przedkładają szybkość zacierania śladów nad efektywność transakcyjną.

Zastrzeżenie: Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znaczącym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.