Hakerzy z Bitget wykradli 228 mln dolarów w ciągu 18 minut; Arkham śledzi 7 łańcuchów bloków

228 milionów dolarów opuściło Bitget w ciągu 18 minut

Klienci Bitget nie mogli wypłacić środków po tym, jak 24 września atakujący opróżnili giełdę kryptowalut. Firma Arkham Intelligence zajmująca się analizą łańcuchów bloków, która identyfikuje portfele i mapuje transfery kryptowalut, prześledziła przepływ około 350 milionów dolarów, które opuściły pięć portfeli Bitget w siedmiu łańcuchach bloków między godziną 14:31 a 17:23 czasu wschodnioamerykańskiego (EDT). Arkham pogrupował adresy powiązane z atakującymi, aby wspólnie przedstawić ich stan posiadania i transfery.

Były to łańcuchy: XRP Ledger, Ethereum, Arbitrum, Optimism, BNB Chain, Avalanche oraz Base. Śledzenie skradzionych środków przez Arkham pokazuje, w jaki sposób atakujący zaczęli przenosić i wymieniać aktywa wkrótce po dokonaniu transferów.

Kradzież miała miejsce w krótkim przedziale czasowym. Kiedy firma Arkham opublikowała 25 września analizę zdarzenia na platformie X, zidentyfikowała 26 adresów powiązanych z napastnikami, dając śledczym możliwość śledzenia przelewów w miarę przemieszczania się środków. Firma stwierdziła:

„Z kwoty 350 mln dolarów 228 mln dolarów opuściło Bitget w ciągu 18 minut, od 18:58 do 19:16 czasu UTC”.

W komunikacie dotyczącym bezpieczeństwa Bitget szacuje, że kwota, której dotyczy incydent, wynosi 351,6 mln dolarów. Giełda informuje, że jej Fundusz Ochrony Użytkowników dysponuje kwotą ponad 464 mln dolarów i pokrywa tę stratę. Według Bitget wypłaty pozostawały wstrzymane na czas przeglądu bezpieczeństwa, podczas gdy wpłaty i handel były kontynuowane.

Skala zdarzenia stała się jaśniejsza, gdy śledczy zidentyfikowali transfery wykraczające poza te wymienione w początkowych raportach dotyczących naruszenia. Wczesne szacunki skupiały się na kwocie od około 174 mln do 183 mln dolarów, która została przeniesiona z portfeli oznaczonych jako należące do Bitget. Bitget oszacował później całkowitą kwotę, której dotyczyła strata, na około dwukrotność tego przedziału.

Strata XRP wywołuje spór dotyczący klasyfikacji portfeli

Firma Arkham zidentyfikowała 153 miliony dolarów w XRP jako największą pojedynczą część kradzieży i określiła jej źródło jako portfel typu cold wallet należący do Bitget. Bitget kwestionuje tę klasyfikację: twierdzi, że jego portfele typu cold wallet pozostały bezpieczne, a naruszenie ograniczało się do części infrastruktury portfeli typu hot i warm wallet. Oba opisy należy traktować jako sprzeczne wersje wydarzeń w trakcie trwania śledztwa.

Portfel zimny przechowuje klucz prywatny w trybie offline, podczas gdy portfel gorący łączy się z internetem w celu przetwarzania transakcji. Spór dotyczy tego, czy skradzione XRP pochodziło z pamięci offline, czy z podłączonej do sieci infrastruktury portfeli Bitget.

Atakujący przenieśli ether do sieci Ethereum z innych łańcuchów i rozdzielili go między nowe portfele, podczas gdy skradzione XRP w dużej mierze pozostało na pięciu adresach po początkowych transferach. Według odrębnego zestawienia transferów z rejestru, na początku 25 września ponad 99% z około 103 milionów XRP pozostawało w pięciu portfelach.

Atakujący zamieniają aktywa i rozdzielają ether między portfele

W ciągu 10 minut od kradzieży napastnicy zaczęli sprzedawać stablecoiny i tokenizowane złoto w zamian za ether, jak podała firma Arkham. Arkham twierdzi, że 25 milionów USDT trafiło do Rizzolver – serwisu realizującego transakcje na UniswapX – w ramach pięciu transakcji po 5 milionów USDT każda. Inne wymiany odbywały się za pośrednictwem Uniswap – zdecentralizowanej giełdy; 1inch, która kieruje transakcje między giełdami; oraz Furucombo, które łączy transakcje z zakresu zdecentralizowanych finansów. Atakujący przenieśli również USDC na sieć Ethereum przed jego sprzedażą.

Środki z Arbitrum, Optimism i Base trafiły do sieci Ethereum za pośrednictwem usług pomostowych; według Arkham proces ten zakończył się o godz. 16:04 czasu wschodnioamerykańskiego (EDT). Arkham oszacowało, że aktywa o wartości około 100 milionów dolarów, inne niż ether, zostały zamienione na około 36 600 ETH. Następnie atakujący podzielili swoje zasoby między nowe adresy; osiem z nich posiadało około 68 300 ETH o wartości 183 milionów dolarów w momencie opublikowania raportu przez Arkham. Firma nie odnotowała wówczas żadnych wychodzących transferów z tych ośmiu adresów.

W momencie sporządzenia migawki przez Arkham część środków w BNB wciąż była w ruchu. Firma prześledziła przepływ 6,9 mln dolarów do 12 nieoznaczonych portfeli w sieci BNB Chain oraz odnotowała wpłaty w wysokości co najmniej 4,7 mln dolarów do Thorchain i 2 mln dolarów do Fixedfloat. Thorchain pojawił się również w śledzeniu środków skradzionych w ramach innej kradzieży kryptowalut; sprawa ta nie pozwala jednak ustalić, kto przeprowadził atak na Bitget.