Хакеры, стоящие за кражей 387,5 млн долларов у Bitget, тестируют новый способ вывести добычу из-под досягаемости мер по возврату средств. Рано утром в среду, 30 сентября, кошельки, связанные с предположительно северокорейскими операторами, перевели около 3,9 млн долларов в Ironwood — новейший закрытый пул Zcash.

В августе Cryptopolitan сообщал, что ZCSH стал первым американским ETF, предложившим спотовую экспозицию на ZEC, дебютировав на NYSE Arca 25 августа. Теперь тот же токен оказался в центре отмывания кражи с девятизначной суммой, которое осуществляют злоумышленники, связанные с Северной Кореей.

Как пул Ironwood скрывает следы

После того как средства попадают в закрытый пул Ironwood, такие данные, как отправитель, получатель и сумма перевода, перестают быть отслеживаемыми.

Следователи по-прежнему могут наблюдать за объемом средств, поступающих в пул, и если какая-то их часть позже появится на публичном адресе, сумма вывода снова становится видимой. Аналитикам остается лишь делать выводы на основе времени, сумм и других метаданных, однако теряется критически важная связь между средствами, вошедшими в пул, и деньгами, которые из него вышли.

2 746 ZEC, достигших Ironwood, поступили тремя депозитами между 08:15 и 08:46 UTC, пройдя через два промежуточных адреса, получивших средства с кошелька, который Bitget уже пометил. Cryptopolitan сообщал, что Ironwood заработал в Zcash 28 июля 2026 года — чуть более чем за два месяца до поступления украденных ZEC.

Сплит акций совпал с тем же утром

Средства взлома поступили в Zcash тем же утром, когда единственный листингованный в США ETF для этого токена — Grayscale Zcash ETF (ZCSH) — завершил прямой сплит акций 3-к-1. Держатели по реестру на 28 сентября получили по две дополнительные акции на каждую имевшуюся; распределение прошло после закрытия торгов 29 сентября. Каждая акция до сплита превратилась в три акции стоимостью примерно в треть прежней чистой стоимости активов — стандартный эффект прямого сплита, снижающий цену одной акции без изменения общей стоимости позиции держателя.\n### Остальные каналы отмывания

Сумма в 3,9 млн долларов, впервые обнаруженная блокчейн-исследователем ZachXBT, составляет примерно 15% украденных злоумышленниками ZEC, которые сейчас перемещаются в закрытые пулы. Оставшиеся примерно 85% этих ZEC пока не отслежены до закрытых пулов, поэтому ключевыми показателями становятся входящие и исходящие суммы пула.

Закрытые депозиты — лишь один из путей вывода, опробованных хакерами. Около 6,3 млн долларов ушли в тень через свопы Ether в Bitcoin, обработанные через THORChain — протокол межчейн-свопов. Попытка перевести более 50 млн долларов через систему SHIELD в NEAR Intents провалилась после того, как протокол заморозил 503 000 долларов, хотя до этого около 166 000 долларов успешно прошли, как сообщал Cryptopolitan. Контраст между двумя площадками показывает, насколько исход возврата средств зависит от того, перехватят ли механизмы контроля протокола помеченные средства до их окончательного зачисления.

Circle и Tether также внесли связанный со злоумышленниками кошелек в черные списки и заморозили 318 013 долларов в стейблкоинах — рычаг, действующий в любой точке перемещения этих токенов, поскольку централизованные стейблкоины остаются под контролем эмитентов даже при перемещении между кошельками.

По данным ZachXBT, китайские посредники, переводившие деньги для предполагаемых злоумышленников из КНДР, 28 сентября «открыто просили о помощи» в Discord-серверах и Telegram-каналах.

Восстановление Bitget

Bitget быстро принял меры по стабилизации после крупнейшего взлома 2026 года на текущий момент. Компания подтвердила, что восстановила фонд защиты пользователей до 309 млн долларов, или около 3 705 Bitcoin, что на 131% выше обязательства в 300 млн долларов.

Вывод средств reopened для пользователей поэтапно: сначала BTC 28 сентября, затем ETH 29 сентября и USDT 30 сентября. Остальные активы, фиат и одноранговые сервисы вернутся 2 октября — в рамках финального запланированного этапа графика восстановления биржи.