Śledczy on-chain zidentyfikowali dodatkowe domniemane skradzione kryptowaluty przemieszczające się do Zcash (ZEC), a środki są rzekomo powiązane z trzema odrębnymi incydentami bezpieczeństwa dotyczącymi Bitget, Cryptobills Ledger i Triple-A.
Podsumowanie
- Śledczy on-chain Specter powiązał domniemane skradzione środki z trzech incydentów bezpieczeństwa z niedawnymi transakcjami Zcash.
- ZachXBT prześledził około 2700 ZEC do chronionej puli Ironwood w Zcash po wrześniowym naruszeniu Bitget.
- Bitget potwierdził, że około 387,5 miliona dolarów trafiło na adresy kontrolowane przez atakujących podczas dochodzenia w sprawie incydentu bezpieczeństwa z 24 września.
- Specter zidentyfikował środki z Cryptobills Ledger i Triple-A wchodzące do Zcash bez publicznego opublikowania kompletnych dowodów na poziomie transakcji.
- Zcash aktywował Ironwood w lipcu 2026 roku, tworząc nową chronioną pulę po luce w zabezpieczeniach Orchard.
W poście z 17 października na X analityk blockchain Specter poinformował, że środki związane z incydentem Cryptobills Ledger oraz exploit Triple-A o wartości 12 milionów dolarów trafiły do Zcash, co nastąpiło po wcześniejszych ustaleniach śledczego ZachXBT dotyczących aktywów skradzionych z Bitget.
Najnowsze zarzuty dotyczą przemieszczania skradzionej kryptowaluty do sieci skoncentrowanej na prywatności, która pozwala użytkownikom ukryć pewne szczegóły transakcji. Jednak Specter nie przedstawił publicznie kompletnego śladu transakcji ani nie ustalił, ile pieniędzy z dwóch dodatkowych incydentów trafiło do ZEC.
Raport następuje po wrześniowym naruszeniu bezpieczeństwa Bitget, które giełda wyceniła na około 387,5 miliona dolarów po przeanalizowaniu transakcji w kilku blockchainach. Potwierdzona przez Bitget kwota strat obejmuje cały incydent i nie odzwierciedla kwoty rzekomo przeniesionej do Zcash.
Zcash przyciąga środki powiązane z trzema incydentami bezpieczeństwa kryptowalut
Ustalenia Spectera zidentyfikowały aktywność obejmującą środki rzekomo powiązane z Bitget, Cryptobills Ledger i Triple-A. Analityk opisał wielu domniemanych atakujących przesyłających kryptowalutę do ZEC po tym, jak ZachXBT ujawnił wykorzystanie funkcji prywatności Zcash w sprawie Bitget.
Konto z 17 października zidentyfikowało incydent bezpieczeństwa Cryptobills Ledger jako jedno ze źródeł domniemanych transferów. Osobno wspomniano środki z exploitu Triple-A, który rzekomo obejmował 12 milionów dolarów skradzionej kryptowaluty.
Ani wartość transferów Cryptobills Ledger, ani kwota przypisana Triple-A nie zostały ustalone w informacjach podanych do publicznej wiadomości. Dochodzenie nie ujawniło, czy domniemani sprawcy korzystali z tych samych adresów portfeli lub koordynowali swoje działania.
Według relacji Spectera w działalność zaangażowanych było kilku aktorów zagrożeń. Badacz nie twierdził, że jeden atakujący był odpowiedzialny za wszystkie trzy incydenty.
Zcash obsługuje transakcje, które mogą ukrywać informacje o nadawcach, odbiorcach i przesyłanych kwotach. Jego technologia prywatności może uniemożliwić zewnętrznym obserwatorom zobaczenie szczegółów transakcji, gdy aktywa wejdą do chronionej puli.
Jednak zarzuty badacza nie dowodzą, że każdy zgłoszony transfer został skutecznie ukryty ani że środki dotarły do miejsca docelowego.
Śledczy mogą zidentyfikować某些 wpłaty do chronionych pul, ale dostępny publiczny zapis niekoniecznie ujawnia, dokąd środki przemieszczają się później.
ZachXBT śledzi pochodzenie kradzieży Bitget do Ironwood
Dochodzenie opiera się na ustaleniach udostępnionych przez ZachXBT 30 września dotyczących kryptowaluty skradzionej z Bitget.
Według śledczego portfele rzekomo powiązane z atakującymi przesłały około 2700 ZEC do chronionej puli Ironwood w Zcash. Wycenił transfery na około 3,8 miliona dolarów w tamtym czasie.
Jego ustalenia nastąpiły po kradzieży z 24 września dotyczącej infrastruktury hot-wallet Bitget. ZachXBT osobno zidentyfikował około 18 900 ZEC, wartych 28,3 miliona dolarów według zgłoszonej wyceny, wśród aktywów związanych z incydentem.
Śledczy podał odniesienia do transakcji związanych z wpłatami do chronionej puli. Te odniesienia wspierają śledzenie środków aż do zidentyfikowanych transakcji wpłat, ale nie ustalają ich miejsc docelowych po objęciu ochroną.
Ironwood to nowsza chroniona pula Zcash wprowadzona poprzez aktualizację sieci z 28 lipca 2026 roku. Wykorzystuje technologię wywodzącą się z wcześniejszego systemu Orchard, zachowując jednocześnie odrębną księgowość transakcji i sald.
Aktualizacja sieci Zcash Ironwood nastąpiła po odkryciu luki w Orchard, która mogła pozwolić na wprowadzenie do obiegu fałszywych monet bez wykrycia.
Deweloperzy wprowadzili zabezpieczenia ograniczające transfery ze starszej puli i utworzyli pulę zastępczą z zaktualizowanymi zabezpieczeniami kryptograficznymi. Aktualizacja została zaprojektowana tak, aby obiegowa podaż Zcash była niezależnie weryfikowalna.
Ironwood nie został wprowadzony jako mechanizm przeciwdziałania praniu pieniędzy. Jego głównym celem było rozwiązanie problemu bezpieczeństwa Orchard przy zachowaniu funkcjonalności transakcji osłoniętych.
Funkcje prywatności protokołu pozostają dostępne dla legalnych użytkowników i mogą być wykorzystywane przez złośliwych aktorów. Zarzuty z 17 października dotyczą podejrzanego wykorzystania tych funkcji przez atakujących, a nie nowej luki w protokole Ironwood.
Bitget potwierdza kradzież 387,5 mln dolarów we wrześniowym naruszeniu
Incydent bezpieczeństwa Bitget z 24 września obejmował nieautoryzowane transfery z części infrastruktury portfeli gorących i ciepłych.
Giełda początkowo oszacowała dotknięte aktywa na 351,6 mln dolarów. Jej aktualizacja bezpieczeństwa z 25 września podniosła tę kwotę do około 387,5 mln dolarów po dodatkowym śledzeniu blockchain i klasyfikacji transakcji.
Bitget wyjaśnił, że zrewidowane szacunki uwzględniły dotknięte aktywa na Zcash i TRON, które nie zostały uwzględnione w pierwotnych obliczeniach. Różnica 35,9 mln dolarów wynikała z bardziej kompletnego rozliczenia incydentu, a nie z kolejnej potwierdzonej fali kradzieży.
Giełda zidentyfikowała dotknięte aktywa w sieciach kompatybilnych z Ethereum, XRP Ledger, Zcash i TRON. Jej lista obejmowała XRP, ETH, USDT, ZEC, USDC, BNB, AVAX i kilka innych tokenów.
Niezależne dochodzenia przeprowadzone przez SlowMist i należącą do Google firmę cyberbezpieczeństwa Mandiant następnie zbadały atak. Bitget poinformował, że oba dochodzenia zidentyfikowały skompromitowane produkty bezpieczeństwa stron trzecich, które umożliwiły nieautoryzowany dostęp do środowiska portfeli giełdy.
Jak wcześniej informował crypto.news, Bitget wznowił wypłaty Bitcoin 28 września po tymczasowym zawieszeniu usług wypłat podczas dochodzenia w sprawie naruszenia.
Giełda oświadczyła, że atakujący nie skompromitowali jej zimnych portfeli ani nie uzyskali kluczy prywatnych. Utrzymywała, że salda kont klientów pozostały nienaruszone, i zobowiązała swój Fundusz Ochrony Użytkowników do pokrycia strat finansowych.
W ogłoszeniu z 30 września Bitget poinformował o uzupełnieniu funduszu ochrony do ponad 300 mln dolarów. Jego wrześniowa aktualizacja proof-of-reserves osobno wykazała łączny wskaźnik rezerw na poziomie 131% w 19 objętych aktywach.
Śledczy identyfikują wcześniejsze próby ukrycia skradzionych środków
Zgłoszone transfery Zcash nie są pierwszymi próbami atakujących powiązanych z naruszeniem Bitget przeniesienia aktywów przez usługi zaprojektowane w celu utrudnienia śledzenia transakcji.
Po wrześniowym ataku firma analityczna blockchain AMLBot prześledziła około czterech BTC powiązanych z incydentem wchodzących w transakcję Wasabi CoinJoin.
Transfery CoinJoin hakera Bitget podobno przebiegały trasą obejmującą TRON, USDT0, Ethereum, THORChain i Bitcoin.
CoinJoin łączy wejścia i wyjścia transakcji od kilku uczestników, utrudniając ustalenie, które wyjście należy do indywidualnego nadawcy.
Osobne śledzenie blockchain zidentyfikowało około 2390 ETH zamienionych na 75,2 BTC w 27 transakcjach na THORChain, o wartości około 6,3 mln dolarów w tamtym czasie.
Bitget zwrócił się do THORChain o ograniczenie adresów powiązanych z kradzieżą. Operatorzy sieci utrzymywali, że ich mechanizmy kontroli awaryjnej mogą zawiesić aktywność sieci, ale nie mogą selektywnie zablokować zamiany konkretnego użytkownika.
W dniach po naruszeniu Bitget wprowadził program nagród za odzyskanie, oferujący nagrody za kwalifikującą się pomoc w zamrożeniu i odzyskaniu skradzionych aktywów.
Program przewiduje 5% skutecznie zamrożonych środków dla kwalifikujących się współtwórców oraz oddzielne 5% dla środków skutecznie odzyskanych poprzez kwalifikujące się dobrowolne działania.
Bitget wyłączył działania podejmowane na mocy nakazów sądowych lub instrukcji organów ścigania z kwalifikowalności do nagród. Zachował ostateczną odpowiedzialność za ustalanie kwalifikujących się wkładów i obliczanie płatności.
Śledztwo w sprawie odzyskania środków Bitget jest nadal aktywne
Ponieważ śledczy nadal śledzą skradzione aktywa, giełda udostępniła zidentyfikowane adresy atakujących firmom zajmującym się bezpieczeństwem, projektom blockchain i innym organizacjom zaangażowanym w śledzenie.
Jej ogłoszenie z 25 września zawierało adresy w sieciach kompatybilnych z Ethereum, XRP Ledger, Zcash i TRON, wraz z publicznym systemem zgłaszania odzyskiwania środków.
Bitget poinformował, że panel śledzenia będzie aktualizowany w miarę identyfikowania przez śledczych dodatkowych portfeli lub ruchów związanych z incydentem. Giełda zachęciła depozytariuszy, emitentów stablecoinów i platformy handlowe do zgłaszania istotnych odkryć.
Wrześniowy atak był największym pojedynczym incydentem w miesiącu hacków kryptowalut o wartości 768 milionów dolarów, zgodnie z ustaleniami z 1 października firm zajmujących się bezpieczeństwem blockchain PeckShield i CertiK.
PeckShield odnotował 766,5 miliona dolarów w 55 głównych wrześniowych incydentach, podczas gdy CertiK oszacował 768,4 miliona dolarów w 97 incydentach. Ich sumy wykorzystywały różne metody raportowania i uwzględniały kwoty brutto, w tym aktywa następnie odzyskane.
W przypadku nowo zgłoszonych transferów Zcash Specter nie ujawnił pełnego rozliczenia środków związanych z Cryptobills Ledger lub Triple-A. Nie ustalono potwierdzonej kwoty odzyskania ani ostatecznego miejsca przeznaczenia tych konkretnych transferów.
