Les protocoles et services utilisés pour déplacer les fonds volés à Bitget ont collecté 761 725 $ de frais pendant le processus de blanchiment, tandis qu'un chercheur indépendant a retracé 259 718 $ de frais d'affiliation THORChain jusqu'à des destinataires ayant des liens financiers supplémentaires avec des portefeuilles impliqués dans les échanges.
Résumé
- Les protocoles et services ont collecté 761 725 $ de frais sur les transactions utilisées pour déplacer les fonds volés lors du piratage de Bitget de 387,5 millions de dollars, selon le chercheur indépendant Andrey Sergeenkov.
- Les fournisseurs de liquidité de THORChain ont reçu 573 226 $, tandis que MetaMask a collecté 149 417 $, Chainflip a reçu 26 751 $ et CoW EthFlow a reçu 12 332 $.
- Sergeenkov a retracé 259 718 $ de frais d'affiliation THORChain jusqu'à sept adresses ayant des liens financiers supplémentaires avec des portefeuilles impliqués dans le déplacement des fonds volés.
- La plus grande adresse d'affiliation liée a reçu 177 499 $, une partie de ses revenus de frais ayant ensuite été convertie en USDT et finalement transférée vers une adresse étiquetée comme portefeuille chaud OKX.
- Un autre montant de 206 196 $ de frais d'affiliation est allé à des destinataires pour lesquels Sergeenkov n'a pas établi de liens financiers supplémentaires avec les portefeuilles impliqués dans les mouvements des fonds volés.
Selon une recherche partagée avec crypto.news par le chercheur indépendant Andrey Sergeenkov, l'analyse a couvert les transactions jusqu'au 2 octobre à 10h22 UTC et a examiné à la fois les services utilisés pour échanger les actifs volés et les adresses désignées comme destinataires des frais dans les instructions de swap THORChain. Les conclusions font suite au vol du 24 septembre dans les portefeuilles chaud et tiède de Bitget, que la plateforme a ensuite évalué à environ 387,5 millions de dollars.
Sergeenkov a calculé que les fournisseurs de liquidité de THORChain ont reçu 573 226 $ provenant de swaps impliquant les fonds volés. MetaMask a collecté 149 417 $ supplémentaires, tandis que Chainflip a reçu 26 751 $ et CoW EthFlow a reçu 12 332 $, selon les données de transaction présentées dans sa recherche.
L'analyse va au-delà de l'identification des protocoles qui ont traité les actifs. Sergeenkov a examiné séparément les frais d'affiliation THORChain et a retracé comment certaines des adresses destinataires ont interagi avec des portefeuilles impliqués dans le déplacement des fonds volés.
Les frais d'affiliation THORChain ont atteint 259 718 $
Les swaps THORChain peuvent contenir des frais d'affiliation qui sont acheminés vers un destinataire distinct spécifié dans l'instruction de swap. Sergeenkov a découvert que 259 718 $ de frais d'affiliation sont allés à sept adresses où l'activité transactionnelle ultérieure a fourni ce qu'il a décrit comme des liens financiers supplémentaires avec des portefeuilles impliqués dans les swaps des fonds volés.
Son analyse ne prétend pas que le fait d'être nommé comme destinataire d'affiliation prouve qu'une adresse appartient à l'attaquant. Une interface ou un script peut insérer une adresse de destinataire avant que l'expéditeur ne signe une transaction, y compris lorsqu'un service perçoit des frais de parrainage. Sergeenkov a déclaré que le champ destinataire seul ne peut donc pas établir qui contrôle une adresse.
Au lieu de cela, il a séparé les destinataires pour lesquels l'historique des transactions fournissait une autre connexion.
La plus grande adresse de cette catégorie, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, a reçu 177 499 $ de frais. Sergeenkov l'a liée à l'activité de blanchiment par le biais de destinataires partagés des principaux fonds.
Une autre adresse a reçu 56 514 $ et avait le même type de connexion. Une troisième a collecté 18 080 $, Sergeenkov ayant constaté qu'une partie des produits des frais a été renvoyée à un portefeuille qui avait soumis l'un des swaps.
D'autres destinataires liés ont collecté 4 544 $, 2 885 $ et 196 $. Une adresse a reçu moins de 1 $ avant de transférer des fonds vers un autre destinataire de frais examiné dans l'analyse.
Dans certains cas, différents swaps qui nommaient différents destinataires d'affiliation ont envoyé les principaux fonds volés vers les mêmes portefeuilles de destination Bitcoin. D'autres transactions ont montré que les produits des frais revenaient à un expéditeur de swap ou entre les destinataires de frais examinés, selon Sergeenkov.
Certains produits de frais ont finalement atteint un portefeuille étiqueté OKX
Sergeenkov a retracé une partie des 177 499 $ reçus par la plus grande adresse d'affiliation liée au-delà de THORChain.
Une partie de ses revenus de frais en RUNE a été échangée contre de l'USDT, puis est passée par deux portefeuilles Ethereum. Les fonds ont finalement atteint une adresse étiquetée « OKX Hot Wallet 5 » par Etherscan, selon la recherche.
Sergeenkov a déclaré qu'OKX pourrait utiliser ses registres de dépôts internes pour déterminer si les transferts correspondaient à un compte client et identifier son titulaire. Son analyse n'établit pas qui possède le compte ni si le client de la plateforme était impliqué dans le vol de Bitget.
Le traçage des frais ajoute une couche supplémentaire au mouvement des actifs à la suite de la violation de Bitget. Comme crypto.news l'a rapporté précédemment, environ 269 millions de dollars ont transité par THORChain à travers 7 804 transactions selon l'instantané du 29 septembre de BlockSec, bien que ce chiffre représente une valeur de passage et puisse inclure les mêmes fonds circulant plus d'une fois dans le protocole.
Un portefeuille lié à Bitget a ensuite effectué 27 swaps THORChain, convertissant environ 2 390 ETH en 75,2 BTC d'une valeur d'environ 6,3 millions de dollars à l'époque.
206 196 $ supplémentaires sont allés à des destinataires sans liens établis
Sergeenkov a identifié un groupe distinct de destinataires affiliés à THORChain qui ont collecté 206 196 $ à partir de swaps impliquant les fonds volés, mais pour lesquels il n'avait pas établi de liens financiers supplémentaires avec les portefeuilles des pirates à travers l'historique des transactions examiné.
Cette distinction est centrale dans son analyse. Les adresses de ce second groupe apparaissaient dans les instructions de swap signées en tant que destinataires de frais, mais Sergeenkov n'a pas trouvé les mouvements de fonds supplémentaires utilisés pour placer le premier groupe dans la catégorie liée.
Le plus grand destinataire du groupe non lié était associé au nom enregistré THORChain naswap et a reçu 102 344 $. Un compte de détention THORChain crédité de frais sous plusieurs noms, notamment w1, t, vi, ss, dx, ej et symbiosis, représentait 92 438 $.
Une autre adresse associée au nom tch a reçu 7 245 $, tandis qu'une adresse utilisant ns a collecté 2 994 $. Un autre destinataire a reçu 1 176 $. Sergeenkov a déclaré que les paiements finaux du compte de détention n'avaient pas été tracés dans son analyse.
Ses conclusions sont arrivées après que Bitget et THORChain se sont publiquement opposés sur la question de savoir si le protocole devait intervenir dans les transactions impliquant des adresses d'attaquants identifiées. Bitget avait demandé à THORChain de refuser le service aux adresses liées à la violation, tandis que THORChain a déclaré que ses mécanismes d'arrêt d'urgence étaient conçus pour protéger les opérations du réseau et ne fournissaient pas de gel sélectif pour des transactions individuelles.
D'autres services ont adopté une approche différente. NEAR Intents a déclaré que son système SHIELD a bloqué plus de 50 millions de dollars de tentatives de transferts liés aux portefeuilles Bitget et a gelé environ 503 000 $ lors de l'exécution. Environ 166 000 $ ont transité avant que les flux suspects ne soient arrêtés, selon le directeur général de NEAR Intents, Alex Shevchenko.
Les recherches de Sergeenkov concernent les frais générés pendant que les actifs volés étaient déplacés et échangés, et non le montant récupéré ou gelé. Son total de 761 725 $ se compose des frais gagnés par les protocoles et services à partir des swaps examinés, tandis que les chiffres de 259 718 $ et 206 196 $ identifient deux groupes de destinataires affiliés à THORChain selon que son examen des transactions a trouvé des liens financiers supplémentaires avec les portefeuilles impliqués dans le déplacement des fonds volés.
