与Bitget攻击者关联的地址已开始将约2,700 ZEC(价值380万美元)转入Zcash的Ironwood屏蔽池,为该交易所9月24日被盗资金增加了额外的隐私层。

这些转账约占Bitget热钱包基础设施中被盗18,900 ZEC的14%。调查人员在资金开始离开与此次攻击相关的公开透明地址时,识别出了三笔Ironwood充值。

链上调查员ZachXBT表示这些钱包属于疑似与朝鲜关联的攻击者。Bitget尚未正式将此次攻击归因于朝鲜,取证调查仍在进行中,Mandiant和SlowMist均有参与。近年来,研究人员和权威机构已将多起重大加密货币盗窃案与朝鲜关联黑客组织联系起来,不过在活跃案件中,正式归因通常在取证工作完成之后进行。

这些ZEC属于估计约3.88亿美元的攻击事件的一部分,该事件影响了Zcash、以太坊及多个EVM网络、XRP Ledger和TRON上的热钱包和温钱包。在更多Zcash和TRON转账被归入此次事件后,最终数字从最初确认的3.516亿美元上升。

Ironwood使充值之后的资金轨迹变得模糊

Zcash于7月28日作为NU6.3网络升级的一部分激活了Ironwood。在今年早些时候发现一个可靠性漏洞后,该池取代Orchard成为网络的主要屏蔽池。

屏蔽的Zcash交易会加密原本公开可见的地址和交易金额。一旦ZEC进入屏蔽池,公开区块链就不再包含足以重建后续支付路径的信息,除非参与者提供额外披露——Zcash通过查看密钥来支持这一操作,让交易参与者能够与审计方或调查人员共享对屏蔽活动的只读可见性。

因此,这三笔已确认的充值证实了被盗ZEC进入了Ironwood,但仅靠公开链上分析无法像追踪透明Zcash地址那样,继续跟踪这些代币在后续屏蔽转账中的流向。

最初的18,900 ZEC中约有16,200 ZEC仍不在最新屏蔽活动中识别出的2,700 ZEC之列,不过额外的资金动向可能会改变这一数字。

追回工作覆盖多个网络

在Zcash资金转移的同时,Bitget仍在继续尝试冻结或追回分布在多条链和流动性路径上的资金。该交易所已提供5%的赏金,奖励直接促成被盗资产被冻结或归还的自愿协助。

阻止其他部分资金的尝试已经暴露出跨链追回的局限性。THORChain拒绝了限制与此次盗窃相关地址的请求,引发了一场关于验证者运营的协议是否应在公开确认的被盗资产经过其基础设施时进行干预的更广泛去中心化争议。

攻击发生时,Bitget保护基金持有超过4.64亿美元,已被指定用于承担用户的经济损失。BTC和ETH提现已恢复,USDT提现已于9月30日重新开放,其余代币、法币和P2P提现计划于10月2日恢复。

最新的Ironwood交易使得最初被盗Zcash余额中约16,200 ZEC仍不在已确认的屏蔽充值之列,而对此次攻击中其他被盗资产的追踪和追回工作仍在继续。在Mandiant和SlowMist的调查结果公布后,Bitget是否进行正式归因,仍是此案尚未解答的问题之一。