🔴 ОБНОВЛЕНИЕ КЕЙСА BITGET: КАК УКРАДЕННЫЕ $387,5 МЛН ПЫТАЮТСЯ СКРЫТЬ В BLOCKCHAIN
Взлом закончился.
Но расследование — только начинается.
После кражи примерно $387,5 млн с Bitget задача атакующего изменилась.
Теперь необходимо не украсть криптовалюту, а сделать другое:
РАЗОРВАТЬ СВЯЗЬ МЕЖДУ УКРАДЕННЫМИ АКТИВАМИ И КОНЕЧНЫМИ ДЕНЬГАМИ.
Blockchain-аналитики наблюдают практически в реальном времени, как средства перемещаются между:
DEX → BRIDGE → ДРУГАЯ СЕТЬ → ДРУГОЙ АКТИВ → BITCOIN → COINJOIN
И это прекрасный практический кейс того, как сегодня выглядит противостояние:
MONEY LAUNDERING vs BLOCKCHAIN INTELLIGENCE
🧬 ИСХОДНАЯ ТОЧКА
24 сентября атакующий вывел активы из hot и warm wallets Bitget.
Окончательная оценка биржи:
≈ $387,5 МЛН
Затронуты Ethereum/EVM, XRP Ledger, Zcash и TRON.
Bitget утверждает, что private keys скомпрометированы не были: атакующий получил доступ к внутренней инфраструктуре и сформировал поддельные withdrawal-команды, которые wallet system приняла к исполнению. Bitget
После этого начинается вторая стадия операции.
LAUNDERING
🕸 ЗАЧЕМ ПЕРЕМЕЩАТЬ СРЕДСТВА МЕЖДУ BLOCKCHAIN?
Представим:
атакующий получил USDT.
Это проблема.
Tether способен заморозить USDT на конкретном адресе.
То же относится к USDC и Circle.
Поэтому окно между кражей и реакцией эмитента критически важно.
По данным BlockSec, значительная часть похищенных замораживаемых stablecoins была преобразована в ETH или AVAX примерно в течение 41 минуты после вывода с Bitget. The Crypto Times
Получается:
USDT / USDC
↓
DEX
↓
ETH / AVAX
↓
АКТИВ БЕЗ ЦЕНТРАЛЬНОГО ЭМИТЕНТА
После такого swap Tether или Circle уже не могут просто внести полученный ETH в blacklist.
💰 СКОЛЬКО УСПЕЛИ ЗАМОРОЗИТЬ?
Circle заблокировала около:
99 990 USDC
Tether:
218 023 USDT
Итого:
≈ $318 000
Это примерно 0,08% от заявленных Bitget $387,5 млн.
Почему настолько мало?
Circle произвела блокировку примерно через 7 часов 37 минут после последнего вывода средств с Bitget.
К этому моменту большая часть подходящих для заморозки активов уже была конвертирована. The Crypto Times
Однако здесь важно не смешивать показатели.
$318 тыс. — именно Circle + Tether.
NEAR Intents отдельно сообщила, что отклонила более $50 млн попыток swaps и заморозила около $503 тыс.
Поэтому встречающаяся в публикациях более высокая общая цифра recovery/freeze не противоречит $318 тыс. — просто учитываются разные механизмы. The Crypto Times
🔄 DAI → USDT → TRON
1 октября MistTrack обнаружил продолжающееся движение средств.
Один из отслеживаемых адресов обменял:
100 000 DAI
↓
100 034,89 USDT
через Uniswap.
После этого USDT отправились через USDT0 между Ethereum и TRON.
На стороне TRON MistTrack наблюдал дальнейшие операции через SunSwap:
USDT → USDD
и
USDT → TRX. The Crypto Times
Таким образом получается уже многоступенчатый маршрут:
DAI
↓
UNISWAP
↓
USDT
↓
USDT0
↓
ETHEREUM → TRON
↓
SUNSWAP
↓
USDD / TRX
Зачем?
Каждая дополнительная операция увеличивает сложность графа расследования.
₿ НО ЕСТЬ ЕЩЁ БОЛЕЕ ИНТЕРЕСНЫЙ МАРШРУТ
AMLBot восстановил цепочку движения другой части активов:
TRX
↓
USDT
↓
USDT0
↓
ETHEREUM
↓
≈145 ETH
↓
THORCHAIN
↓
≈4,59 BTC
После этого примерно:
4 BTC
попали в:
WASABI COINJOIN The Crypto Times
🌀 ЗАЧЕМ НУЖЕН COINJOIN?
Bitcoin прозрачен.
Можно видеть:
INPUT → TRANSACTION → OUTPUT
и строить граф движения средств.
CoinJoin меняет структуру.
Несколько пользователей объединяют множество входов и выходов внутри общей транзакции.
Упрощённо:
BTC A ─┐
BTC B ─┤
BTC C ─┤
BTC D ─┤
BTC E ─┘
↓
COINJOIN
↓
OUTPUT 1
OUTPUT 2
OUTPUT 3
OUTPUT 4
OUTPUT 5
Теперь определить с прежней уверенностью:

какой INPUT соответствует какому OUTPUT

становится значительно сложнее.
Важно: CoinJoin не делает Bitcoin «невидимым».
Транзакция остаётся в blockchain.
Но детерминированная связь между входом и конкретным выходом существенно ослабляется.