Protokolle und Dienste, die verwendet wurden, um von Bitget gestohlene Gelder zu transferieren, haben während des Geldwäscheprozesses 761.725 US-Dollar an Gebühren eingenommen, während ein unabhängiger Forscher 259.718 US-Dollar an THORChain-Partnergebühren bis zu Empfängern zurückverfolgt hat, die zusätzliche finanzielle Verbindungen zu Wallets haben, die an den Swaps beteiligt waren.
Zusammenfassung
- Protokolle und Dienste haben 761.725 US-Dollar an Gebühren aus Transaktionen eingenommen, die verwendet wurden, um Gelder zu transferieren, die beim Bitget-Hack in Höhe von 387,5 Millionen US-Dollar gestohlen wurden, so der unabhängige Forscher Andrey Sergeenkov.
- THORChain-Liquiditätsanbieter erhielten 573.226 US-Dollar, während MetaMask 149.417 US-Dollar einnahm, Chainflip 26.751 US-Dollar erhielt und CoW EthFlow 12.332 US-Dollar erhielt.
- Sergeenkov verfolgte 259.718 US-Dollar an THORChain-Partnergebühren bis zu sieben Adressen mit zusätzlichen finanziellen Verbindungen zu Wallets, die an der Bewegung der gestohlenen Gelder beteiligt waren.
- Die größte verbundene Partneradresse erhielt 177.499 US-Dollar, wobei ein Teil ihres Gebühreneinkommens später in USDT umgewandelt und schließlich an eine als OKX-Hot-Wallet gekennzeichnete Adresse transferiert wurde.
- Weitere 206.196 US-Dollar an Partnergebühren gingen an Empfänger, für die Sergeenkov keine zusätzlichen finanziellen Verbindungen zu den an den Bewegungen der gestohlenen Gelder beteiligten Wallets feststellen konnte.
Laut Forschung, die von dem unabhängigen Forscher Andrey Sergeenkov mit crypto.news geteilt wurde, umfasste die Analyse Transaktionen bis zum 2. Oktober um 10:22 UTC und untersuchte sowohl die Dienste, die zum Umtausch der gestohlenen Vermögenswerte verwendet wurden, als auch die Adressen, die in THORChain-Swap-Anweisungen als Gebührenempfänger genannt wurden. Die Ergebnisse folgen auf den Diebstahl vom 24. September aus Bitgets Hot- und Warm-Wallets, den die Börse später auf etwa 387,5 Millionen US-Dollar schätzte.
Sergeenkov berechnete, dass THORChain-Liquiditätsanbieter 573.226 US-Dollar aus Swaps erhielten, an denen die gestohlenen Gelder beteiligt waren. MetaMask nahm weitere 149.417 US-Dollar ein, während Chainflip 26.751 US-Dollar erhielt und CoW EthFlow 12.332 US-Dollar erhielt, so die in seiner Forschung präsentierten Transaktionsdaten.
Die Analyse geht über die Identifizierung der Protokolle hinaus, die die Vermögenswerte verarbeitet haben. Sergeenkov untersuchte THORChain-Partnergebühren separat und verfolgte, wie einige der Empfängeradressen mit Wallets interagierten, die an der Bewegung der gestohlenen Gelder beteiligt waren.
THORChain-Partnergebühren erreichten 259.718 US-Dollar
THORChain-Swaps können eine Partnergebühr enthalten, die an einen separaten, in der Swap-Anweisung angegebenen Empfänger weitergeleitet wird. Sergeenkov fand heraus, dass 259.718 US-Dollar an Partnergebühren an sieben Adressen gingen, bei denen nachfolgende Transaktionsaktivitäten das lieferten, was er als zusätzliche finanzielle Verbindungen zu Wallets beschrieb, die an den Swaps der gestohlenen Gelder beteiligt waren.
Seine Analyse behauptet nicht, dass die Nennung als Partnerempfänger beweist, dass eine Adresse dem Angreifer gehört. Eine Schnittstelle oder ein Skript kann eine Empfängeradresse einfügen, bevor der Absender eine Transaktion signiert, auch wenn ein Dienst eine Empfehlungsgebühr einzieht. Sergeenkov sagte, dass das Empfängerfeld allein daher nicht feststellen kann, wer eine Adresse kontrolliert.
Stattdessen trennte er Empfänger, bei denen der Transaktionsverlauf eine weitere Verbindung lieferte.
Die größte Adresse in dieser Kategorie, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, erhielt 177.499 US-Dollar an Gebühren. Sergeenkov verknüpfte sie mit der Geldwäscheaktivität durch gemeinsame Empfänger der Hauptgelder.
Eine weitere Adresse erhielt 56.514 US-Dollar und hatte dieselbe Art von Verbindung. Eine dritte sammelte 18.080 US-Dollar, wobei Sergeenkov feststellte, dass einige Gebührenerlöse an eine Wallet zurückgegeben wurden, die einen der Swaps eingereicht hatte.
Andere verbundene Empfänger sammelten 4.544 US-Dollar, 2.885 US-Dollar und 196 US-Dollar. Eine Adresse erhielt weniger als 1 US-Dollar, bevor sie Gelder an einen anderen in der Analyse untersuchten Gebührenempfänger transferierte.
In einigen Fällen sendeten verschiedene Swaps, die unterschiedliche Partnerempfänger nannten, die Hauptgelder der gestohlenen Gelder an dieselben Bitcoin-Ziel-Wallets. Andere Transaktionen zeigten, dass Gebührenerlöse zurück an einen Swap-Absender oder zwischen überprüften Gebührenempfängern flossen, so Sergeenkov.
Einige Gebührenerlöse erreichten schließlich eine als OKX gekennzeichnete Wallet
Sergeenkov verfolgte einen Teil der 177.499 US-Dollar, die von der größten verbundenen Partneradresse empfangen wurden, über THORChain hinaus.
Ein Teil ihres RUNE-Gebühreneinkommens wurde in USDT umgetauscht und dann durch zwei Ethereum-Wallets geleitet. Die Gelder erreichten schließlich eine von Etherscan als „OKX Hot Wallet 5“ gekennzeichnete Adresse, so die Forschung.
Sergeenkov sagte, OKX könnte seine internen Einzahlungsunterlagen verwenden, um festzustellen, ob die Transfers einem Kundenkonto entsprachen, und dessen Inhaber identifizieren. Seine Analyse stellt nicht fest, wem das Konto gehört oder ob der Börsenkunde in den Bitget-Diebstahl verwickelt war.
Die Gebührenspur fügt der Bewegung von Vermögenswerten nach dem Bitget-Verstoß eine weitere Ebene hinzu. Wie crypto.news zuvor berichtete, flossen nach dem Stand von BlockSec vom 29. September etwa 269 Millionen US-Dollar durch THORChain in 7.804 Transaktionen, wobei die Zahl den Durchlaufwert darstellte und dieselben Gelder enthalten könnte, die mehr als einmal durch das Protokoll bewegt wurden.
Eine mit Bitget verknüpfte Wallet führte später 27 THORChain-Swaps durch und wandelte etwa 2.390 ETH in 75,2 BTC im damaligen Wert von ungefähr 6,3 Millionen US-Dollar um.
Weitere 206.196 US-Dollar gingen an Empfänger ohne etablierte Verbindungen
Sergeenkov identifizierte eine separate Gruppe von THORChain-Affiliate-Empfängern, die 206.196 US-Dollar aus Swaps mit den gestohlenen Geldern einnahmen, für die er jedoch in der überprüften Transaktionshistorie keine zusätzlichen finanziellen Verbindungen zu den Wallets der Hacker herstellen konnte.
Diese Unterscheidung ist zentral für seine Analyse. Adressen in dieser zweiten Gruppe erschienen in signierten Swap-Anweisungen als Gebührenempfänger, doch Sergeenkov fand nicht die zusätzlichen Geldbewegungen, mit denen die erste Gruppe in die verknüpfte Kategorie eingeordnet wurde.
Der größte Empfänger in der nicht verknüpften Gruppe war mit dem registrierten THORChain-Namen naswap verbunden und erhielt 102.344 US-Dollar. Ein THORChain-Halte-Konto, dem unter mehreren Namen Gebühren gutgeschrieben wurden, darunter w1, t, vi, ss, dx, ej und symbiosis, machte 92.438 US-Dollar aus.
Eine weitere Adresse, die mit dem Namen tch verbunden ist, erhielt 7.245 US-Dollar, während eine Adresse mit dem Namen ns 2.994 US-Dollar einnahm. Ein weiterer Empfänger erhielt 1.176 US-Dollar. Sergeenkov sagte, dass die endgültigen Auszahlungen vom Halte-Konto in seiner Analyse nicht zurückverfolgt worden seien.
Seine Ergebnisse kamen, nachdem Bitget und THORChain öffentlich darüber uneinig waren, ob das Protokoll in Transaktionen eingreifen sollte, an denen identifizierte Angreiferadressen beteiligt sind. Bitget hatte THORChain aufgefordert, den Dienst für Adressen zu verweigern, die mit dem Verstoß in Verbindung stehen, während THORChain erklärte, seine Not-Aus-Mechanismen seien darauf ausgelegt, den Netzwerkbetrieb zu schützen, und böten keine selektive Sperrung für einzelne Transaktionen.
Andere Dienste verfolgten einen anderen Ansatz. NEAR Intents sagte, sein SHIELD-System habe mehr als 50 Millionen US-Dollar an versuchten Überweisungen blockiert, die mit den Bitget-Wallets in Verbindung stehen, und während der Ausführung etwa 503.000 US-Dollar eingefroren. Laut Alex Shevchenko, General Manager von NEAR Intents, flossen etwa 166.000 US-Dollar durch, bevor die verdächtigen Ströme gestoppt wurden.
Sergeenkovs Forschung betrifft Gebühren, die entstanden, während die gestohlenen Vermögenswerte bewegt und getauscht wurden, nicht den zurückgewonnenen oder eingefrorenen Betrag. Seine Gesamtsumme von 761.725 US-Dollar besteht aus Gebühren, die Protokolle und Dienste aus den überprüften Swaps verdienten, während die Zahlen 259.718 US-Dollar und 206.196 US-Dollar zwei Gruppen von THORChain-Affiliate-Empfängern danach identifizieren, ob seine Transaktionsprüfung zusätzliche finanzielle Verbindungen zu Wallets fand, die an der Bewegung der gestohlenen Gelder beteiligt waren.
