Bitget przywrócił wypłaty Bitcoina po tym, jak incydent bezpieczeństwa wymusił ich tymczasowe wstrzymanie, a śledczy on-chain informują, że portfel powiązany z atakującym przelał Ethereum przez THORChain — zdecentralizowany protokół płynności międzyłańcuchowej — według wzorca, który opisują jako typowy dla transferów środków po eksploicie.

Wypłaty wznowione, śledzenie trwa

Giełda poinformowała, że wypłaty Bitcoina zostały ponownie uruchomione po zawieszeniu wprowadzonym, gdy zespoły bezpieczeństwa badały naruszenie. Wstrzymanie wypłat podczas aktywnej analizy po eksploicie to standardowa praktyka giełd: daje zespołom bezpieczeństwa czas na audyt ekspozycji portfeli i zablokowanie ewentualnych dalszych nieautoryzowanych wypływów środków. Dla deponentów dostęp wypłat jest praktycznym testem podczas reagowania na naruszenie — środki przechowywane na giełdzie można przenieść na żądanie tylko wtedy, gdy wypłaty działają. Bitget nie poinformował publicznie, czy wznowienie oznacza pełne zakończenie przeglądu bezpieczeństwa, czy jedynie odblokowanie określonych segmentów portfeli.

Prace śledcze obejmują kilka łańcuchów. W oddzielnej analizie ustalono, że 4 BTC z włamania do Bitget przeszło przez Wasabi CoinJoin — protokół miksowania Bitcoina — co zdaniem badaczy dowodzi, że atakujący równolegle stosował techniki zacierania śladów na różnych łańcuchach, zamiast kierować wszystko przez jeden kanał. CoinJoin działa poprzez łączenie transakcji wielu użytkowników w jedną wspólną, zacierając bezpośredni powiązanie on-chain między pochodzeniem monety a jej przeznaczeniem — dlatego śledzenie zmieszanych monet opiera się na klastrowaniu, a nie na prostym podążaniu od adresu do adresu.

Co użytkownicy mogą zweryfikować samodzielnie

W momencie publikacji żadne niezależnie zweryfikowane dane dotyczące łącznej kwoty skradzionych środków, konkretnych adresów portfeli ani hashy transakcji nie zostały potwierdzone przez giełdę ani przez renomowane firmy śledcze on-chain. Ponieważ aktywność blockchain jest publiczna i pseudonimowa, każdy później ujawniony adres może być śledzony w czasie rzeczywistym przez każdego. Użytkownicy, którzy chcą samodzielnie śledzić środki, mogą sprawdzić Mempool.space dla transakcji Bitcoin oraz Etherscan dla ruchów po stronie Ethereum związanych z publicznie ujawnionymi adresami atakującego.

Dlaczego THORChain pojawia się w przepływach środków

THORChain umożliwia natywne zamiany międzyłańcuchowe bez tokenów opakowanych i pośredników scentralizowanych, co uczyniło go częstym przystankiem dla transferów środków po eksploitach. Atakcy posiadający Ethereum może wymienić je bezpośrednio na Bitcoin lub inne wspierane aktywa bez punktu KYC, co utrudnia blacklistowanie na poziomie giełd oraz śledzenie łańcucha przechowywania środków.

Reakcja samego protokołu na incydent okazała się kontrowersyjna. THORChain odmówił żądań zablokowania portfeli powiązanych z włamaniem do Bitget, powołując się na zasady neutralności — stanowisko, które skomentował współzałożyciel Ethereum Vitalik Buterin, odnosząc się do granic odporności na cenzurę w kontekście skradzionych środków. Odmowa ta uwypukla strukturalne napięcie w zdecentralizowanej infrastrukturze: bezpermissionowy projekt, który obniża ryzyko kontrahenta dla zwykłych użytkowników, osłabia również skuteczność reaktywnego zamrażania środków po naruszeniu.

Zamiany międzyłańcuchowe przez protokoły takie jak THORChain przekształcają problem śledzenia w obrębie jednego łańcucha w problem koordynacji wielołańcuchowej. Zamrożenie lub odzyskanie środków wymagałoby równoczesnego działania wielu zespołów protokołów, z których żaden nie ma umownej relacji z dotkniętą giełdą. Dlatego śledczy zazwyczaj obserwują portele docelowe na scentralizowanych punktach wymiany na fiat, zamiast próbować zatrzymać zamiany w trakcie.

Co pozostaje niepotwierdzone

Kilka istotnych szczegółów pozostaje niezweryfikowanych w momencie publikacji: łączny wolumen ETH wymienionego przez THORChain, konkretne hashe transakcji lub wysokości bloków, tożsamość lub atrybucja atakującego oraz pełny zakres dotkniętych aktywów poza zawieszeniem wypłat Bitcoina. Dane pojawiające się w doniesieniach wtórnych należy traktować jako niepotwierdzone, dopóki Bitget lub renomowana firma śledcza on-chain nie opublikuje dokumentacji źródłowej. Dalej obserwowalne wskaźniki są konkretne: oficjalna informacja od Bitget o tym, czy przegląd został zakończony, dokumentacja źródłowa kwantyfikująca przepływy przez THORChain oraz ewentualne publiczne ujawnienie adresów atakującego — z których każdy przekształciłby powyższą niezweryfikowaną pozycję w coś co czytelnicy mogą samodzielnie sprawdzić on-chain.

Łącznie wykorzystanie THORChain do zamian ETH wraz z Wasabi CoinJoin do zacierania śladów Bitcoina wskazuje na przemyślaną strategię wieloprotokołową — wzorzec coraz częściej widoczny w eksploitach giełdowych, gdzie atakujący rozpraszają aktywność między łańcuchami, aby rozmyć uwagę śledczych.

Zastrzeżenie: ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.