Протоколи та сервіси, які використовувалися для переміщення коштів, викрадених з Bitget, зібрали $761,725 у вигляді комісій під час процесу відмивання, тоді як незалежний дослідник відстежив $259,718 партнерських комісій THORChain до отримувачів, які мають додаткові фінансові зв'язки з гаманцями, задіяними у свопах.
Резюме
- Протоколи та сервіси зібрали $761,725 у вигляді комісій з транзакцій, використаних для переміщення коштів, викрадених під час злому Bitget на $387,5 млн, за даними незалежного дослідника Андрія Сергеєнкова.
- Постачальники ліквідності THORChain отримали $573,226, тоді як MetaMask зібрав $149,417, Chainflip отримав $26,751, а CoW EthFlow отримав $12,332.
- Сергеєнков відстежив $259,718 партнерських комісій THORChain до семи адрес, які мають додаткові фінансові зв'язки з гаманцями, задіяними у переміщенні викрадених коштів.
- Найбільша пов'язана партнерська адреса отримала $177,499, причому частину її доходу від комісій згодом конвертували в USDT і зрештою переказали на адресу, позначену як гарячий гаманець OKX.
- Ще $206,196 партнерських комісій надійшли отримувачам, для яких Сергеєнков не встановив додаткових фінансових зв'язків з гаманцями, задіяними у переміщенні викрадених коштів.
Згідно з дослідженням, наданим crypto.news незалежним дослідником Андрієм Сергеєнковим, аналіз охоплював транзакції до 2 жовтня 10:22 UTC і вивчав як сервіси, використані для обміну викрадених активів, так і адреси, зазначені як отримувачі комісій в інструкціях свопів THORChain. Ці висновки з'явилися після крадіжки 24 вересня з гарячих і теплих гаманців Bitget, яку біржа згодом оцінила приблизно в $387,5 млн.
Сергеєнков підрахував, що постачальники ліквідності THORChain отримали $573,226 від свопів, пов'язаних з викраденими коштами. MetaMask зібрав ще $149,417, тоді як Chainflip отримав $26,751, а CoW EthFlow отримав $12,332, згідно з даними транзакцій, представленими в його дослідженні.
Аналіз виходить за межі ідентифікації протоколів, які обробляли активи. Сергеєнков окремо дослідив партнерські комісії THORChain і відстежив, як деякі з адрес-отримувачів взаємодіяли з гаманцями, задіяними у переміщенні викрадених коштів.
Партнерські комісії THORChain сягнули $259,718
Свопи THORChain можуть містити партнерську комісію, яка спрямовується окремому отримувачу, зазначеному в інструкції свопу. Сергеєнков виявив, що $259,718 партнерських комісій надійшли на сім адрес, де подальша транзакційна активність забезпечила те, що він описав як додаткові фінансові зв'язки з гаманцями, задіяними у свопах викрадених коштів.
Його аналіз не стверджує, що зазначення як партнерського отримувача доводить належність адреси зловмиснику. Інтерфейс або скрипт може вставити адресу отримувача до того, як відправник підпише транзакцію, зокрема коли сервіс стягує реферальну комісію. Сергеєнков зазначив, що саме поле отримувача не може встановити, хто контролює адресу.
Натомість він відокремив отримувачів, де історія транзакцій забезпечила інший зв'язок.
Найбільша адреса в цій категорії, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, отримала $177,499 у вигляді комісій. Сергеєнков пов'язав її з діяльністю з відмивання через спільних отримувачів основних коштів.
Інша адреса отримала $56,514 і мала такий самий тип зв'язку. Третя зібрала $18,080, причому Сергеєнков виявив, що частину доходу від комісій було повернуто на гаманець, який подав один із свопів.
Інші пов'язані отримувачі зібрали $4,544, $2,885 і $196. Одна адреса отримала менше $1 перед переказом коштів іншому отримувачу комісій, розглянутому в аналізі.
У деяких випадках різні свопи, які зазначали різних партнерських отримувачів, надсилали основні викрадені кошти на ті самі цільові гаманці Bitcoin. Інші транзакції показували, як дохід від комісій повертався до відправника свопу або між перевіреними отримувачами комісій, за словами Сергеєнкова.
Деякі надходження від комісій зрештою досягли гаманця з позначкою OKX
Сергеєнков відстежив частину $177,499, отриманих найбільшою пов'язаною партнерською адресою, за межами THORChain.
Частину її доходу в RUNE обміняли на USDT, а потім провели через два гаманці Ethereum. Кошти зрештою досягли адреси, позначеної Etherscan як "OKX Hot Wallet 5", згідно з дослідженням.
Сергеєнков зазначив, що OKX може використати свої внутрішні записи про депозити, щоб визначити, чи відповідали перекази рахунку клієнта, та ідентифікувати його власника. Його аналіз не встановлює, хто володіє рахунком або чи був клієнт біржі причетний до крадіжки з Bitget.
Слід комісій додає ще один рівень до руху активів після злому Bitget. Як раніше повідомляло crypto.news, приблизно $269 мільйонів пройшло через THORChain у 7 804 транзакціях за знімком BlockSec від 29 вересня, хоча ця цифра відображала транзитну вартість і могла включати ті самі кошти, що проходили через протокол більше ніж один раз.
Пов'язаний з Bitget гаманець згодом завершив 27 свопів у THORChain, конвертувавши приблизно 2 390 ETH у 75,2 BTC вартістю приблизно $6,3 мільйона на той час.
Ще $206 196 надійшло одержувачам без встановлених зв'язків
Сергєєнков виокремив окрему групу одержувачів партнерських винагород THORChain, які отримали $206 196 від свопів із залученням викрадених коштів, але для яких він не встановив додаткових фінансових зв'язків із гаманцями хакерів через переглянуту історію транзакцій.
Ця відмінність є ключовою для його аналізу. Адреси з цієї другої групи з'являлися в підписаних інструкціях щодо свопів як одержувачі комісій, але Сергєєнков не знайшов додаткових рухів коштів, які використовувалися для віднесення першої групи до категорії пов'язаних.
Найбільший одержувач у непов'язаній групі був пов'язаний із зареєстрованим іменем THORChain naswap і отримав $102 344. Холдинговий рахунок THORChain, зарахований комісіями під кількома іменами, зокрема w1, t, vi, ss, dx, ej та symbiosis, становив $92 438.
Інша адреса, пов'язана з іменем tch, отримала $7 245, тоді як адреса, що використовує ns, зібрала $2 994. Ще один одержувач отримав $1 176. Сергєєнков зазначив, що остаточні виплати з холдингового рахунку не були простежені в його аналізі.
Його висновки з'явилися після того, як Bitget і THORChain публічно розійшлися в думках щодо того, чи повинен протокол втручатися в транзакції за участю ідентифікованих адрес атакуючого. Bitget просив THORChain відмовити в обслуговуванні адрес, пов'язаних із зломом, тоді як THORChain заявив, що його механізми екстреної зупинки призначені для захисту роботи мережі й не забезпечують вибіркового заморожування окремих транзакцій.
Інші сервіси обрали інший підхід. NEAR Intents заявив, що його система SHIELD заблокувала понад $50 мільйонів у спробах переказів, пов'язаних із гаманцями Bitget, і заморозила приблизно $503 000 під час виконання. Приблизно $166 000 пройшло до того, як підозрілі потоки були зупинені, за словами генерального менеджера NEAR Intents Алекса Шевченка.
Дослідження Сергєєнкова стосується комісій, згенерованих під час переміщення та обміну викрадених активів, а не суми, відновленої чи замороженої. Його загальна сума $761 725 складається з комісій, зароблених протоколами та сервісами від переглянутих свопів, тоді як цифри $259 718 і $206 196 визначають дві групи одержувачів партнерських винагород THORChain залежно від того, чи виявив його огляд транзакцій додаткові фінансові зв'язки з гаманцями, залученими до переміщення викрадених коштів.
