Адреса, связанные со взломщиком Bitget, начали переводить примерно 2700 ZEC стоимостью 3,8 млн долларов в экранированный пул Zcash Ironwood, добавляя дополнительный уровень приватности к средствам, похищенным при взломе биржи 24 сентября.

Эти переводы составляют около 14% из 18900 ZEC, похищенных из инфраструктуры горячих кошельков Bitget. Были идентифицированы три депозита в Ironwood, когда средства начали покидать прозрачный адрес, опубликованный в связи с атакой.

Ончейн-аналитик ZachXBT заявил, что кошельки принадлежат предположительно связанным с КНДР злоумышленникам. Bitget официально не связала взлом с КНДР, а форензическое расследование продолжается с участием Mandiant и SlowMist. Хакерские группировки, связанные с КНДР, исследователи и власти связывали с рядом крупных криптовалютных краж в последние годы, хотя официальная атрибуция в активных делах обычно следует после завершения форензической работы.

Данные ZEC являются частью взлома, ущерб от которого оценивается примерно в 388 млн долларов и который затронул горячие и теплые кошельки в сетях Zcash, Ethereum, нескольких EVM-сетях, XRP Ledger и TRON. Итоговая сумма выросла с первоначально установленных 351,6 млн долларов после того, как дополнительные переводы в Zcash и TRON были отнесены к инциденту.

Ironwood скрывает след дальше депозита

Zcash активировал Ironwood 28 июля в рамках обновления сети NU6.3. Пул заменил Orchard в качестве основного экранированного пула сети после того, как ранее в этом году была обнаружена уязвимость в корректности (soundness).

Экранированные транзакции Zcash шифруют адреса и суммы транзакций, которые в противном случае были бы публично видны. После того как ZEC попадает в экранированный пул, публичный блокчейн больше не содержит достаточно информации для восстановления последующего пути платежа, если участник не предоставит дополнительное раскрытие — Zcash поддерживает это через viewing keys, позволяющие участникам транзакции предоставлять аудиторам или следователям доступ «только для чтения» к экранированной активности.

Таким образом, три идентифицированных депозита подтверждают, что похищенные ZEC попали в Ironwood, однако анализ публичного блокчейна не может отследить те же монеты через последующие экранированные переводы так, как он может отслеживать прозрачные адреса Zcash.

Примерно 16200 ZEC из первоначальных 18900 ZEC остаются вне 2700 ZEC, идентифицированных в последней активности по экранированию, хотя дополнительные перемещения могут изменить этот баланс.

Работа по возврату средств охватывает несколько сетей

емещения Zcash происходят по мере того, как Bitget продолжает попытки заморозить или вернуть средства в нескольких цепочках и через каналы ликвидности. Биржа предложила вознаграждение в размере 5% за добровольное содействие, которое непосредственно приведет к заморозке или возврату похищенных активов.

Попытки остановить другие части средств уже выявили ограничения межсетевого возврата. THORChain отклонил запросы на ограничение адресов, связанных с кражей, что вызвало более широкую дискуссию о децентрализации — должны ли протоколы, управляемые валидаторами, вмешиваться, когда публично идентифицированные похищенные активы проходят через их инфраструктуру.

Фонд защиты Bitget на момент взлома содержал более 464 млн долларов и определен для покрытия финансовых последствий для пользователей. Выводы BTC и ETH уже возобновлены, вывод USDT открылся 30 сентября, а оставшиеся выводы токенов, фиата и P2P запланированы на 2 октября.

Последние транзакции в Ironwood оставляют около 16200 ZEC из первоначально похищенного баланса Zcash вне идентифицированных экранированных депозитов, в то время как работа по отслеживанию и возврату продолжается в отношении других активов, похищенных при взломе. Перейдет ли Bitget к официальной атрибуции после выводов Mandiant и SlowMist — один из открытых вопросов этого дела.