Протоколы и сервисы, использованные для перемещения средств, украденных у Bitget, собрали $761 725 в виде комиссий в процессе отмывания, в то время как независимый исследователь отследил $259 718 в партнёрских комиссиях THORChain до получателей, имеющих дополнительные финансовые связи с кошельками, участвовавшими в свопах.
Краткое содержание
- Протоколы и сервисы собрали $761 725 в виде комиссий с транзакций, использованных для перемещения средств, украденных в результате взлома Bitget на $387,5 млн, согласно независимому исследователю Андрею Сергеенкову.
- Поставщики ликвидности THORChain получили $573 226, в то время как MetaMask собрал $149 417, Chainflip получил $26 751, а CoW EthFlow получил $12 332.
- Сергеенков отследил $259 718 в партнёрских комиссиях THORChain до семи адресов с дополнительными финансовыми связями с кошельками, участвовавшими в перемещении украденных средств.
- Крупнейший связанный партнёрский адрес получил $177 499, причём часть его комиссионного дохода позже была конвертирована в USDT и в конечном итоге переведена на адрес, помеченный как горячий кошелёк OKX.
- Ещё $206 196 в партнёрских комиссиях поступили получателям, для которых Сергеенков не установил дополнительных финансовых связей с кошельками, участвовавшими в перемещении украденных средств.
Согласно исследованию, предоставленному crypto.news независимым исследователем Андреем Сергеенковым, анализ охватывал транзакции по состоянию на 2 октября 10:22 UTC и рассматривал как сервисы, использованные для обмена украденных активов, так и адреса, указанные в качестве получателей комиссий в инструкциях свопов THORChain. Эти выводы последовали за кражей 24 сентября из горячего и тёплого кошельков Bitget, которую биржа позже оценила примерно в $387,5 млн.
Сергеенков подсчитал, что поставщики ликвидности THORChain получили $573 226 от свопов, связанных с украденными средствами. MetaMask собрал ещё $149 417, в то время как Chainflip получил $26 751, а CoW EthFlow получил $12 332, согласно данным транзакций, представленным в его исследовании.
Анализ выходит за рамки идентификации протоколов, обработавших активы. Сергеенков отдельно изучил партнёрские комиссии THORChain и отследил, как некоторые из адресов-получателей взаимодействовали с кошельками, участвовавшими в перемещении украденных средств.
Партнёрские комиссии THORChain достигли $259 718
Свопы THORChain могут содержать партнёрскую комиссию, которая направляется отдельному получателю, указанному в инструкции свопа. Сергеенков обнаружил, что $259 718 в партнёрских комиссиях поступили на семь адресов, где последующая транзакционная активность обеспечила то, что он описал как дополнительные финансовые связи с кошельками, участвовавшими в свопах украденных средств.
Его анализ не утверждает, что указание в качестве партнёрского получателя доказывает принадлежность адреса злоумышленнику. Интерфейс или скрипт может вставить адрес получателя до того, как отправитель подпишет транзакцию, в том числе когда сервис взимает реферальную комиссию. Сергеенков сказал, что одно лишь поле получателя поэтому не может установить, кто контролирует адрес.
Вместо этого он отделил получателей, где история транзакций предоставила другую связь.
Крупнейший адрес в этой категории, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, получил $177 499 в виде комиссий. Сергеенков связал его с деятельностью по отмыванию через общих получателей основных средств.
Другой адрес получил $56 514 и имел такой же тип связи. Третий собрал $18 080, причём Сергеенков обнаружил, что часть комиссионных поступлений была возвращена на кошелёк, который отправил один из свопов.
Другие связанные получатели собрали $4 544, $2 885 и $196. Один адрес получил менее $1, прежде чем перевести средства другому получателю комиссий, рассмотренному в анализе.
В некоторых случаях разные свопы, указывавшие разных партнёрских получателей, отправляли основные украденные средства на одни и те же конечные биткоин-кошельки. Другие транзакции показывали, как комиссионные поступления возвращались отправителю свопа или между проверенными получателями комиссий, согласно Сергеенкову.
Часть комиссионных поступлений в конечном итоге достигла кошелька с меткой OKX
Сергеенков отследил часть $177 499, полученных крупнейшим связанным партнёрским адресом, за пределами THORChain.
Часть его дохода в RUNE была обменяна на USDT и затем прошла через два кошелька Ethereum. Средства в конечном итоге достигли адреса, помеченного Etherscan как «OKX Hot Wallet 5», согласно исследованию.
Сергеенков сказал, что OKX мог бы использовать свои внутренние записи о депозитах, чтобы определить, соответствовали ли переводы счёту клиента, и идентифицировать его владельца. Его анализ не устанавливает, кто владеет счётом или был ли клиент биржи причастен к краже у Bitget.
След комиссий добавляет еще один уровень к движению активов после взлома Bitget. Как ранее сообщал crypto.news, примерно $269 млн прошли через THORChain в рамках 7 804 транзакций по состоянию на снимок BlockSec от 29 сентября, хотя эта цифра отражала проходящую стоимость и могла включать одни и те же средства, проходящие через протокол более одного раза.
Связанный с Bitget кошелек позже совершил 27 свопов через THORChain, конвертировав примерно 2 390 ETH в 75,2 BTC стоимостью около $6,3 млн на тот момент.
Еще $206 196 ушли получателям без установленных связей
Сергеенков выявил отдельную группу партнерских получателей THORChain, которые собрали $206 196 со свопов, связанных с украденными средствами, но для которых он не установил дополнительных финансовых связей с кошельками хакеров на основе изученной истории транзакций.
Это различие имеет центральное значение для его анализа. Адреса из этой второй группы фигурировали в подписанных инструкциях по свопам как получатели комиссий, но Сергеенков не обнаружил дополнительных движений средств, которые использовались для отнесения первой группы к категории связанных.
Крупнейший получатель в несвязанной группе был связан с зарегистрированным именем THORChain naswap и получил $102 344. Счет хранения THORChain, зачисленный комиссиями под несколькими именами, включая w1, t, vi, ss, dx, ej и symbiosis, составил $92 438.
Еще один адрес, связанный с именем tch, получил $7 245, тогда как адрес, использующий ns, собрал $2 994. Еще один получатель получил $1 176. Сергеенков заявил, что окончательные выплаты со счета хранения не были отслежены в его анализе.
Его выводы появились после того, как Bitget и THORChain публично разошлись во мнениях относительно того, должен ли протокол вмешиваться в транзакции с участием идентифицированных адресов атакующих. Bitget просил THORChain отказать в обслуживании адресам, связанным с взломом, тогда как THORChain заявил, что его механизмы экстренной остановки предназначены для защиты работы сети и не обеспечивают выборочную заморозку отдельных транзакций.
Другие сервисы выбрали иной подход. NEAR Intents заявил, что его система SHIELD заблокировала более $50 млн в попытках переводов, связанных с кошельками Bitget, и заморозила примерно $503 000 во время исполнения. Примерно $166 000 прошли до того, как подозрительные потоки были остановлены, по словам генерального менеджера NEAR Intents Алекса Шевченко.
Исследование Сергеенкова касается комиссий, возникших при перемещении и обмене украденных активов, а не суммы, возвращенной или замороженной. Его итоговая сумма в $761 725 состоит из комиссий, заработанных протоколами и сервисами на рассмотренных свопах, тогда как цифры $259 718 и $206 196 определяют две группы партнерских получателей THORChain в зависимости от того, обнаружил ли его обзор транзакций дополнительные финансовые связи с кошельками, участвовавшими в перемещении украденных средств.
