Protokoły i usługi wykorzystane do przenoszenia funduszy skradzionych z Bitget zebrały 761 725 dolarów w opłatach podczas procesu prania pieniędzy, podczas gdy niezależny badacz prześledził 259 718 dolarów w opłatach afiliacyjnych THORChain do odbiorców z dodatkowymi powiązaniami finansowymi z portfelami zaangażowanymi w swapy.
Podsumowanie
- Protokoły i usługi zebrały 761 725 dolarów w opłatach z transakcji wykorzystanych do przenoszenia funduszy skradzionych w ataku na Bitget o wartości 387,5 miliona dolarów, według niezależnego badacza Andrieja Siergiejenkowa.
- Dostawcy płynności THORChain otrzymali 573 226 dolarów, podczas gdy MetaMask zebrał 149 417 dolarów, Chainflip otrzymał 26 751 dolarów, a CoW EthFlow otrzymał 12 332 dolarów.
- Siergiejenkow prześledził 259 718 dolarów w opłatach afiliacyjnych THORChain do siedmiu adresów z dodatkowymi powiązaniami finansowymi z portfelami zaangażowanymi w przenoszenie skradzionych funduszy.
- Największy powiązany adres afiliacyjny otrzymał 177 499 dolarów, a część jego dochodów z opłat została później wymieniona na USDT i ostatecznie przeniesiona na adres oznaczony jako gorący portfel OKX.
- Kolejne 206 196 dolarów w opłatach afiliacyjnych trafiło do odbiorców, dla których Siergiejenkow nie ustalił dodatkowych powiązań finansowych z portfelami zaangażowanymi w ruchy skradzionych funduszy.
Według badań udostępnionych crypto.news przez niezależnego badacza Andrieja Siergiejenkowa, analiza obejmowała transakcje do 2 października o 10:22 UTC i badała zarówno usługi wykorzystane do wymiany skradzionych aktywów, jak i adresy wskazane jako odbiorcy opłat w instrukcjach swapów THORChain. Ustalenia następują po kradzieży z 24 września z gorących i ciepłych portfeli Bitget, którą giełda później wyceniła na około 387,5 miliona dolarów.
Siergiejenkow obliczył, że dostawcy płynności THORChain otrzymali 573 226 dolarów z swapów involving the stolen funds. MetaMask zebrał kolejne 149 417 dolarów, podczas gdy Chainflip otrzymał 26 751 dolarów, a CoW EthFlow otrzymał 12 332 dolarów, zgodnie z danymi transakcyjnymi przedstawionymi w jego badaniach.
Analiza wykracza poza identyfikację protokołów, które przetwarzały aktywa. Siergiejenkow zbadał oddzielnie opłaty afiliacyjne THORChain i prześledził, w jaki sposób niektóre adresy odbiorców wchodziły w interakcje z portfelami zaangażowanymi w przenoszenie skradzionych funduszy.
Opłaty afiliacyjne THORChain osiągnęły 259 718 dolarów
Swapy THORChain mogą zawierać opłatę afiliacyjną, która jest kierowana do oddzielnego odbiorcy określonego w instrukcji swapu. Siergiejenkow znalazł 259 718 dolarów w opłatach afiliacyjnych, które trafiły do siedmiu adresów, gdzie późniejsza aktywność transakcyjna dostarczyła to, co opisał jako dodatkowe powiązania finansowe z portfelami zaangażowanymi w swapy skradzionych funduszy.
Jego analiza nie twierdzi, że bycie wymienionym jako odbiorca afiliacyjny dowodzi, że adres należy do atakującego. Interfejs lub skrypt może wstawić adres odbiorcy, zanim nadawca podpisze transakcję, w tym gdy usługa pobiera opłatę za polecenie. Siergiejenkow powiedział, że samo pole odbiorcy nie może zatem ustalić, kto kontroluje adres.
Zamiast tego oddzielił odbiorców, w przypadku których historia transakcji dostarczyła inne powiązanie.
Największy adres w tej kategorii, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, otrzymał 177 499 dolarów w opłatach. Siergiejenkow powiązał go z działalnością prania pieniędzy poprzez wspólnych odbiorców głównych funduszy.
Inny adres otrzymał 56 514 dolarów i miał ten sam typ powiązania. Trzeci zebrał 18 080 dolarów, a Siergiejenkow ustalił, że część dochodów z opłat została zwrócona do portfela, który złożył jeden z swapów.
Inni powiązani odbiorcy zebrali 4 544, 2 885 i 196 dolarów. Jeden adres otrzymał mniej niż 1 dolara przed przeniesieniem funduszy do innego odbiorcy opłat badanego w analizie.
W niektórych przypadkach różne swapy, które wymieniały różnych odbiorców afiliacyjnych, wysłały główne skradzione fundusze do tych samych docelowych portfeli Bitcoin. Inne transakcje pokazały dochody z opłat wracające do nadawcy swapu lub między badanymi odbiorcami opłat, zgodnie z Siergiejenkowem.
Niektóre dochody z opłat ostatecznie trafiły do portfela oznaczonego jako OKX
Siergiejenkow prześledził część z 177 499 dolarów otrzymanych przez największy powiązany adres afiliacyjny poza THORChain.
Część jego dochodów z opłat RUNE została wymieniona na USDT, a następnie przeszła przez dwa portfele Ethereum. Fundusze ostatecznie trafiły na adres oznaczony jako „OKX Hot Wallet 5” przez Etherscan, zgodnie z badaniami.
Siergiejenkow powiedział, że OKX może wykorzystać swoje wewnętrzne zapisy depozytów, aby ustalić, czy przelewy odpowiadały kontu klienta i zidentyfikować jego posiadacza. Jego analiza nie ustala, kto jest właścicielem konta ani czy klient giełdy był zaangażowany w kradzież z Bitget.
Ślad opłat dodaje kolejną warstwę do przepływu aktywów po naruszeniu Bitget. Jak wcześniej informował crypto.news, około 269 milionów dolarów przeszło przez THORChain w 7 804 transakcjach według migawki BlockSec z 29 września, choć liczba ta reprezentowała wartość przepływu i mogła obejmować te same środki przechodzące przez protokół więcej niż raz.
Powiązany z Bitget portfel później zrealizował 27 swapów w THORChain, konwertując około 2 390 ETH na 75,2 BTC o wartości około 6,3 miliona dolarów w tamtym czasie.
Kolejne 206 196 dolarów trafiło do odbiorców bez ustalonych powiązań
Sergeenkov zidentyfikował osobną grupę odbiorców afiliacyjnych THORChain, którzy zebrali 206 196 dolarów ze swapów obejmujących skradzione środki, ale dla których nie ustalił dodatkowych powiązań finansowych z portfelami hakerów na podstawie przeanalizowanej historii transakcji.
To rozróżnienie ma kluczowe znaczenie dla jego analizy. Adresy w tej drugiej grupie pojawiły się w podpisanych instrukcjach swapów jako odbiorcy opłat, ale Sergeenkov nie znalazł dodatkowych ruchów środków użytych do zaklasyfikowania pierwszej grupy do kategorii powiązanej.
Największy odbiorca w niepowiązanej grupie był powiązany z zarejestrowaną nazwą THORChain naswap i otrzymał 102 344 dolarów. Konto depozytowe THORChain uznane opłatami pod kilkoma nazwami, w tym w1, t, vi, ss, dx, ej i symbiosis, odpowiadało za 92 438 dolarów.
Inny adres powiązany z nazwą tch otrzymał 7 245 dolarów, podczas gdy adres używający ns zebrał 2 994 dolarów. Kolejny odbiorca otrzymał 1 176 dolarów. Sergeenkov powiedział, że końcowe wypłaty z konta depozytowego nie zostały prześledzone w jego analizie.
Jego ustalenia pojawiły się po tym, jak Bitget i THORChain publicznie nie zgodziły się co do tego, czy protokół powinien interweniować w transakcje obejmujące zidentyfikowane adresy atakującego. Bitget poprosił THORChain o odmowę obsługi adresów powiązanych z naruszeniem, podczas gdy THORChain stwierdził, że jego mechanizmy awaryjnego zatrzymania zostały zaprojektowane w celu ochrony operacji sieciowych i nie zapewniały selektywnego zamrożenia poszczególnych transakcji.
Inne usługi przyjęły inne podejście. NEAR Intents powiedział, że jego system SHIELD zablokował ponad 50 milionów dolarów w próbach transferów powiązanych z portfelami Bitget i zamroził około 503 000 dolarów podczas realizacji. Około 166 000 dolarów przeszło, zanim podejrzane przepływy zostały zatrzymane, według dyrektora generalnego NEAR Intents Alexa Shevchenki.
Badania Sergeenkova dotyczą opłat generowanych podczas przenoszenia i wymiany skradzionych aktywów, a nie kwoty odzyskanej lub zamrożonej. Jego suma 761 725 dolarów składa się z opłat uzyskanych przez protokoły i usługi z przeanalizowanych swapów, podczas gdy liczby 259 718 i 206 196 dolarów identyfikują dwie grupy odbiorców afiliacyjnych THORChain na podstawie tego, czy jego przegląd transakcji znalazł dodatkowe powiązania finansowe z portfelami zaangażowanymi w przenoszenie skradzionych środków.
