Peretas Bitget Menguras $228 Juta dalam 18 Menit, Arkham Melacak 7 Rantai Blok

$228 Juta Keluar dari Bitget dalam 18 Menit

Pelanggan Bitget tidak dapat menarik dana setelah para penyerang menguras bursa kripto tersebut pada 24 September. Perusahaan analisis blockchain Arkham Intelligence, yang mengidentifikasi dompet dan memetakan transfer mata uang kripto, melacak sekitar $350 juta yang keluar dari lima dompet Bitget di tujuh rantai antara pukul 14.31 dan 17.23 EDT. Arkham telah mengelompokkan alamat-alamat yang terkait dengan para penyerang untuk menampilkan kepemilikan dan transfer mereka secara bersamaan.

Jaringan-jaringan tersebut meliputi XRP Ledger, Ethereum, Arbitrum, Optimism, BNB Chain, Avalanche, dan Base. Pelacakan Arkham terhadap dana yang dicuri menunjukkan bagaimana para penyerang mulai memindahkan dan menukar aset segera setelah transfer dilakukan.

Pencurian tersebut terkonsentrasi dalam rentang waktu yang singkat. Ketika Arkham menerbitkan laporan pasca-insidennya pada 25 September di X, mereka telah menandai 26 alamat yang terkait dengan para penyerang, sehingga memberikan cara bagi para penyelidik untuk melacak transfer seiring pergerakan dana tersebut. Perusahaan tersebut menyatakan:

"Dari total $350 juta, $228 juta meninggalkan Bitget dalam waktu 18 menit, dari pukul 18:58 hingga 19:16 UTC."

Pemberitahuan keamanan Bitget memperkirakan jumlah yang terdampak sebesar $351,6 juta. Bursa tersebut menyatakan bahwa Dana Perlindungan Pengguna mereka memiliki lebih dari $464 juta dan menanggung kerugian tersebut. Penarikan tetap ditangguhkan selama proses tinjauan keamanan, sementara setoran dan perdagangan tetap berlanjut, menurut Bitget.

Skala insiden ini menjadi lebih jelas setelah para penyelidik mengidentifikasi transfer yang melampaui laporan awal mengenai pelanggaran tersebut. Perkiraan awal berfokus pada sekitar $174 juta hingga $183 juta yang dipindahkan dari dompet berlabel Bitget. Bitget kemudian memperkirakan jumlah total yang terdampak sekitar dua kali lipat dari kisaran tersebut.

Kerugian XRP Memicu Perselisihan Klasifikasi Dompet

Arkham mengidentifikasi $153 juta dalam bentuk XRP sebagai bagian tunggal terbesar dari pencurian tersebut dan menggambarkan sumbernya sebagai dompet dingin (cold wallet) Bitget. Bitget membantah klasifikasi tersebut: Pihak Bitget menyatakan bahwa dompet dinginnya tetap aman dan bahwa pelanggaran tersebut terbatas pada bagian-bagian dari infrastruktur dompet panas (hot wallet) dan dompet hangat (warm wallet) miliknya. Kedua deskripsi tersebut sebaiknya diperlakukan sebagai versi yang saling bertentangan selama penyelidikan masih berlangsung.

Dompet dingin menyimpan kunci pribadinya secara offline, sedangkan dompet panas terhubung ke internet untuk memproses transaksi. Perselisihan ini berkisar pada apakah XRP yang dicuri berasal dari penyimpanan offline atau infrastruktur dompet Bitget yang terhubung ke internet.

Para penyerang memindahkan ether ke Ethereum dari rantai lain dan membaginya ke dompet-dompet baru, sementara XRP yang dicuri sebagian besar tetap berada di lima alamat setelah transfer awal. Lebih dari 99% dari sekitar 103 juta XRP tetap berada di lima dompet pada awal 25 September, menurut laporan terpisah mengenai transfer buku besar.

Para penyerang Menukar Aset dan Membagi Ether ke Berbagai Dompet

Dalam waktu 10 menit setelah pencurian, para penyerang mulai menjual stablecoin dan emas yang ditokenisasi untuk mendapatkan ether, demikian dilaporkan Arkham. Arkham menyebutkan bahwa $25 juta dalam bentuk USDT dikirim ke Rizzolver, sebuah layanan yang memproses perdagangan di UniswapX, melalui lima transaksi masing-masing senilai $5 juta. Pertukaran lainnya menggunakan Uniswap, sebuah bursa terdesentralisasi; 1inch, yang mengarahkan perdagangan antar-bursa; dan Furucombo, yang menggabungkan transaksi keuangan terdesentralisasi. Para penyerang juga memindahkan USDC ke Ethereum sebelum menjualnya.

Dana dari Arbitrum, Optimism, dan Base dipindahkan ke Ethereum melalui layanan jembatan (bridging), sebuah proses yang menurut Arkham telah selesai pada pukul 16.04 EDT. Arkham memperkirakan bahwa aset senilai sekitar $100 juta selain ether telah diubah menjadi sekitar 36.600 ETH. Para penyerang kemudian membagi kepemilikan mereka ke berbagai alamat baru; delapan di antaranya memegang sekitar 68.300 ETH, senilai $183 juta, saat Arkham mempublikasikan laporannya. Laporan tersebut tidak mencatat adanya transfer keluar dari delapan alamat tersebut pada saat itu.

Bagian BNB masih bergerak dalam snapshot Arkham. Arkham melacak $6,9 juta ke 12 dompet BNB Chain yang tidak diberi label dan melaporkan setoran setidaknya $4,7 juta ke Thorchain serta $2 juta ke Fixedfloat. Thorchain juga muncul dalam pelacakan dana yang dicuri dalam kasus pencurian kripto terpisah; kasus tersebut tidak membuktikan siapa yang melakukan serangan terhadap Bitget.