链上调查人员已发现更多疑似被盗加密货币流入Zcash（ZEC），据报这些资金与涉及Bitget、Cryptobills Ledger和Triple-A的三起独立安全事件有关。
摘要
- 链上调查员Specter近期将三起安全事件中涉嫌被盗的资金与Zcash交易联系起来。
- 在9月Bitget遭入侵事件后，ZachXBT追踪到约2,700枚ZEC流入Zcash的Ironwood屏蔽池。
- Bitget确认，在其9月24日安全事件调查中，约3.875亿美元流入了攻击者控制的地址。
- Specter指出Cryptobills Ledger和Triple-A的资金进入了Zcash，但未公开完整的交易级证据。
- Zcash于2026年7月激活Ironwood，在Orchard漏洞之后创建了一个新的屏蔽池。
在10月17日发布于X的一篇帖子中，区块链分析师Specter 报告称，与Cryptobills Ledger事件以及价值1,200万美元的Triple-A漏洞利用相关的资金已进入Zcash，此前调查员ZachXBT已就Bitget被盗资产得出相关发现。
最新指控涉及被盗加密货币流入一个注重隐私的网络，该网络允许用户隐藏某些交易细节。然而，Specter并未公开提供完整的交易轨迹，也未确定这两起额外事件中有多少资金进入了ZEC。
该报告发布之前，Bitget于9月发生安全漏洞，该交易所在审查了多条区块链上的交易后，估计损失约为3.875亿美元。Bitget确认的损失数字涵盖整个事件，并不代表据报流入Zcash的金额。
Zcash吸引与三起加密安全事件相关的资金
Specter的发现识别出涉及据称与Bitget、Cryptobills Ledger和Triple-A相关的资金活动。该分析师描述，在ZachXBT披露Bitget案件中使用了Zcash的隐私功能后，多名疑似攻击者将加密货币转入ZEC。
10月17日的账号将Cryptobills Ledger安全事件列为疑似转账的来源之一。该账号还单独提到了来自Triple-A漏洞利用的资金，据报涉及1,200万美元被盗加密货币。
在已公开的信息中，Cryptobills Ledger转账的价值以及归属于Triple-A的金额均未得到确认。调查未披露疑似行为者是否使用了相同的钱包地址，或是否协调了他们的资金转移。
根据Specter的说法，该活动涉及多个威胁行为者。该研究员并未声称一名攻击者对全部三起事件负责。
Zcash支持可隐藏发送方、接收方和转账金额信息的交易。其隐私技术可以阻止外部观察者在资产进入屏蔽池后看到交易细节。
然而，该研究员的指控并不能证明每一笔据报的转账都已被成功隐藏，也不能证明这些资金已到达最终目的地。
调查人员可以识别进入屏蔽池的某些存款，但现有的公开记录不一定能揭示资金此后流向何处。
ZachXBT追踪Bitget被盗资金流入Ironwood
该调查建立在ZachXBT于9月30日分享的关于从Bitget被盗的加密货币的发现之上。
据该调查员称，据称与攻击者相关的钱包将约2,700枚ZEC转入了Zcash的Ironwood屏蔽池。他当时对这些转账的估值约为380万美元。
他的发现是在9月24日涉及Bitget热钱包基础设施的盗窃案之后得出的。ZachXBT还单独识别出约18,900枚ZEC，按所报估值价值2,830万美元，属于与该事件相关的资产之一。
该调查员提供了与存入屏蔽池相关的交易参考。这些参考支持将资金追踪至已识别的存款交易，但无法确定其在被屏蔽后的去向。
Ironwood是Zcash通过2026年7月28日网络升级引入的较新屏蔽池。它使用源自早期Orchard系统的技术，同时对交易和余额保持独立核算。
在发现 Orchard 中存在一个可能让伪造代币在未被察觉的情况下流通的漏洞之后，Zcash Ironwood 网络升级随之推出。
开发者引入了限制从旧资金池转移的保障措施，并创建了一个具有更新加密保护的新替代资金池。此次升级旨在使 Zcash 的流通供应量能够被独立验证。
Ironwood 并非作为反洗钱机制而引入。其主要目的是在保留屏蔽交易功能的同时解决 Orchard 安全问题。
该协议的隐私功能仍然可供合法用户使用，也可能被恶意行为者利用。10 月 17 日的指控涉及的是攻击者涉嫌使用这些功能，而非 Ironwood 协议中存在新的漏洞。
Bitget 确认 9 月入侵事件中被盗 3.875 亿美元
Bitget 9 月 24 日的安全事件涉及从其部分热钱包和温钱包基础设施进行的未经授权转移。
该交易所最初估计受影响资产为 3.516 亿美元。在进行了额外的区块链追踪和交易分类后，其 9 月 25 日的安全更新将这一数字上调至约 3.875 亿美元。
Bitget 解释称，修订后的估计纳入了 Zcash 和 TRON 上未包含在原始计算中的受影响资产。3590 万美元的差额源于对该事件更完整的核算，而非又一轮已确认的盗窃。
该交易所确认了以太坊兼容网络、XRP Ledger、Zcash 和 TRON 上的受影响资产。其清单包括 XRP、ETH、USDT、ZEC、USDC、BNB、AVAX 以及其他几种代币。
SlowMist 和谷歌旗下的网络安全公司 Mandiant 随后开展的独立调查对该攻击进行了审查。Bitget 报告称，两项调查均发现受损的第三方安全产品使未经授权者得以访问该交易所的钱包环境。
正如 crypto.news 此前报道的那样，Bitget 于 9 月 28 日恢复了比特币提现，此前该交易所在调查此次入侵期间曾暂时暂停提现服务。
该交易所表示，攻击者并未攻破其冷钱包或获取私钥。它坚称客户账户余额未受影响，并承诺动用其用户保护基金来弥补财务损失。
在 9 月 30 日的一份公告中，Bitget 报告称已将保护基金补充至超过 3 亿美元。其 9 月的储备证明更新另行显示，19 种涵盖资产的综合储备率为 131%。
调查人员发现此前试图隐匿被盗资金的行为
据报道的 Zcash 转账并非与 Bitget 入侵事件相关的攻击者首次试图通过旨在增加交易追踪难度的服务转移资产。
在 9 月攻击之后，区块链分析公司 AMLBot 追踪到与该事件相关的约 4 枚 BTC 进入了一笔 Wasabi CoinJoin 交易。
据报道，Bitget 黑客的 CoinJoin 转账遵循了一条涉及 TRON、USDT0、以太坊、THORChain 和比特币的路径。
CoinJoin 将多名参与者的交易输入和输出混合在一起，使确定哪个输出属于某个特定发送者变得更加困难。
另一项区块链追踪发现，约 2390 枚 ETH 通过 THORChain 上的 27 笔交易兑换为 75.2 枚 BTC，当时价值约 630 万美元。
Bitget 曾要求 THORChain 限制与此次盗窃相关的地址。该网络的运营者坚称，其紧急控制措施可以暂停网络活动，但无法选择性地阻止单个用户的兑换。
在入侵事件发生后的几天里，Bitget 推出了一项追回赏金计划，为符合条件的协助冻结和追回被盗资产提供奖励。
该计划向符合条件的贡献者提供成功冻结资金的 5%，并另行为通过符合条件的自愿行动成功追回的资金提供 5%。
Bitget 将根据法院命令或执法指示采取的行动排除在赏金资格之外。它保留确定合格贡献和计算付款的最终责任。
Bitget 追回调查仍在进行中
随着调查人员继续追踪被盗资产，该交易所已将确认的攻击者地址提供给参与追踪的安全公司、区块链项目和其他组织。
其 9 月 25 日的公告包含了以太坊兼容网络、XRP Ledger、Zcash 和 TRON 上的地址，以及一个公开的追回报告系统。
Bitget 表示，随着调查人员确认与该事件相关的更多钱包或资金流动，追踪仪表板将会更新。该交易所鼓励托管机构、稳定币发行方和交易平台报告相关发现。
根据区块链安全公司 PeckShield 和 CertiK 于 10 月 1 日发布的调查结果，9 月的这起入侵事件是 加密货币 7.68 亿美元黑客损失最严重月份 中最大的单起事件。
PeckShield 记录了 9 月 55 起重大事件中总计 7.665 亿美元的损失，而 CertiK 估计 97 起事件中总计 7.684 亿美元。两者的总计采用了不同的报告方法，并计算了受影响总额，包括随后被追回的资产。
对于最新报告的 Zcash 转账，Specter 尚未披露与 Cryptobills Ledger 或 Triple-A 相关的资金的完整账目。对于这些具体转账，尚未确定确认的追回金额或最终去向。
