Protocolos e serviços usados para movimentar fundos roubados da Bitget coletaram $761.725 em taxas durante o processo de lavagem, enquanto um pesquisador independente rastreou $259.718 em taxas de afiliados da THORChain até destinatários com vínculos financeiros adicionais a carteiras envolvidas nas trocas.
Resumo
- Protocolos e serviços coletaram $761.725 em taxas de transações usadas para movimentar fundos roubados no hack de $387,5 milhões da Bitget, segundo o pesquisador independente Andrey Sergeenkov.
- Provedores de liquidez da THORChain receberam $573.226, enquanto a MetaMask coletou $149.417, a Chainflip recebeu $26.751 e a CoW EthFlow recebeu $12.332.
- Sergeenkov rastreou $259.718 em taxas de afiliados da THORChain até sete endereços com vínculos financeiros adicionais a carteiras envolvidas na movimentação dos fundos roubados.
- O maior endereço de afiliado vinculado recebeu $177.499, com parte de sua receita de taxas posteriormente convertida em USDT e eventualmente transferida para um endereço rotulado como carteira quente da OKX.
- Outros $206.196 em taxas de afiliados foram para destinatários para os quais Sergeenkov não estabeleceu vínculos financeiros adicionais com as carteiras envolvidas nas movimentações dos fundos roubados.
De acordo com pesquisa compartilhada com o crypto.news pelo pesquisador independente Andrey Sergeenkov, a análise cobriu transações até 2 de outubro às 10:22 UTC e examinou tanto os serviços usados para trocar os ativos roubados quanto os endereços nomeados como destinatários de taxas nas instruções de swap da THORChain. As descobertas seguem o roubo de 24 de setembro das carteiras quente e morna da Bitget, que a exchange posteriormente avaliou em aproximadamente $387,5 milhões.
Sergeenkov calculou que os provedores de liquidez da THORChain receberam $573.226 de swaps envolvendo os fundos roubados. A MetaMask coletou outros $149.417, enquanto a Chainflip recebeu $26.751 e a CoW EthFlow recebeu $12.332, de acordo com os dados de transação apresentados em sua pesquisa.
A análise vai além de identificar os protocolos que processaram os ativos. Sergeenkov examinou as taxas de afiliados da THORChain separadamente e rastreou como alguns dos endereços destinatários interagiram com carteiras envolvidas na movimentação dos fundos roubados.
Taxas de afiliados da THORChain chegaram a $259.718
Swaps da THORChain podem conter uma taxa de afiliado que é direcionada a um destinatário separado especificado na instrução de swap. Sergeenkov descobriu que $259.718 em taxas de afiliados foram para sete endereços onde a atividade de transação subsequente forneceu o que ele descreveu como vínculos financeiros adicionais a carteiras envolvidas nos swaps dos fundos roubados.
Sua análise não afirma que ser nomeado como destinatário de afiliado prova que um endereço pertence ao atacante. Uma interface ou script pode inserir um endereço de destinatário antes que o remetente assine uma transação, inclusive quando um serviço coleta uma taxa de indicação. Sergeenkov disse que o campo do destinatário sozinho, portanto, não pode estabelecer quem controla um endereço.
Em vez disso, ele separou destinatários onde o histórico de transações forneceu outra conexão.
O maior endereço nessa categoria, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, recebeu $177.499 em taxas. Sergeenkov o vinculou à atividade de lavagem por meio de destinatários compartilhados dos fundos principais.
Outro endereço recebeu $56.514 e tinha o mesmo tipo de conexão. Um terceiro coletou $18.080, com Sergeenkov descobrindo que parte do produto das taxas foi devolvida a uma carteira que havia enviado um dos swaps.
Outros destinatários vinculados coletaram $4.544, $2.885 e $196. Um endereço recebeu menos de $1 antes de transferir fundos para outro destinatário de taxas examinado na análise.
Em alguns casos, swaps diferentes que nomearam destinatários de afiliados diferentes enviaram os fundos roubados principais para as mesmas carteiras de destino Bitcoin. Outras transações mostraram o produto das taxas retornando a um remetente de swap ou entre destinatários de taxas revisados, de acordo com Sergeenkov.
Parte do produto das taxas eventualmente chegou a uma carteira rotulada da OKX
Sergeenkov rastreou parte dos $177.499 recebidos pelo maior endereço de afiliado vinculado além da THORChain.
Parte de sua receita de taxas em RUNE foi trocada por USDT e depois passou por duas carteiras Ethereum. Os fundos eventualmente chegaram a um endereço rotulado como “OKX Hot Wallet 5” pela Etherscan, de acordo com a pesquisa.
Sergeenkov disse que a OKX poderia usar seus registros internos de depósitos para determinar se as transferências correspondiam a uma conta de cliente e identificar seu titular. Sua análise não estabelece quem é o proprietário da conta ou se o cliente da exchange estava envolvido no roubo da Bitget.
O rastro das taxas adiciona outra camada ao movimento de ativos após a violação da Bitget. Como o crypto.news relatou anteriormente, aproximadamente US$ 269 milhões passaram pela THORChain em 7.804 transações, segundo o snapshot da BlockSec de 29 de setembro, embora o valor representasse valor de passagem e pudesse incluir os mesmos fundos movimentados pelo protocolo mais de uma vez.
Uma carteira vinculada à Bitget posteriormente completou 27 swaps na THORChain, convertendo aproximadamente 2.390 ETH em 75,2 BTC no valor de aproximadamente US$ 6,3 milhões na época.
Outros US$ 206.196 foram para destinatários sem vínculos estabelecidos
Sergeenkov identificou um grupo separado de destinatários afiliados da THORChain que coletaram US$ 206.196 de swaps envolvendo os fundos roubados, mas para os quais ele não havia estabelecido vínculos financeiros adicionais com as carteiras dos hackers por meio do histórico de transações revisado.
A distinção é central para sua análise. Endereços neste segundo grupo apareceram em instruções de swap assinadas como destinatários de taxas, mas Sergeenkov não encontrou os movimentos extras de fundos usados para colocar o primeiro grupo na categoria vinculada.
O maior destinatário no grupo não vinculado estava associado ao nome registrado na THORChain naswap e recebeu US$ 102.344. Uma conta de retenção da THORChain creditada com taxas sob vários nomes, incluindo w1, t, vi, ss, dx, ej e symbiosis, respondeu por US$ 92.438.
Outro endereço associado ao nome tch recebeu US$ 7.245, enquanto um endereço usando ns coletou US$ 2.994. Um outro destinatário recebeu US$ 1.176. Sergeenkov disse que os pagamentos finais da conta de retenção não foram rastreados em sua análise.
Suas descobertas surgiram depois que a Bitget e a THORChain discordaram publicamente sobre se o protocolo deveria intervir em transações envolvendo endereços de atacantes identificados. A Bitget havia pedido à THORChain que recusasse serviço a endereços ligados à violação, enquanto a THORChain disse que seus mecanismos de parada de emergência foram projetados para proteger as operações da rede e não forneciam um congelamento seletivo para transações individuais.
Outros serviços adotaram uma abordagem diferente. A NEAR Intents disse que seu sistema SHIELD bloqueou mais de US$ 50 milhões em tentativas de transferência ligadas às carteiras da Bitget e congelou aproximadamente US$ 503.000 durante a execução. Cerca de US$ 166.000 passaram antes que os fluxos suspeitos fossem interrompidos, de acordo com o gerente geral da NEAR Intents, Alex Shevchenko.
A pesquisa de Sergeenkov diz respeito às taxas geradas enquanto os ativos roubados eram movimentados e trocados, não ao valor recuperado ou congelado. Seu total de US$ 761.725 consiste em taxas ganhas por protocolos e serviços a partir dos swaps revisados, enquanto os valores de US$ 259.718 e US$ 206.196 identificam dois grupos de destinatários afiliados da THORChain com base em se sua revisão de transações encontrou vínculos financeiros adicionais com carteiras envolvidas na movimentação dos fundos roubados.
