Взломщики Bitget переключились на пул конфиденциальности Zcash: куда направлены похищенные средства после отказа NEAPпроекта NEAProtocol NEAR проводить обмен на сумму 50 млн долларов?

Автор: Decrypt

Перевод: TechFlow

Главное от TechFlow: Путь отмывания денег по делу о краже 387,5 млн долларов с Bitget разворачивается в реальном времени — Near Intents резко отказывается обрабатывать обменные запросы, связанные с инцидентом, Thorchain продолжает пропускать транзакции под предлогом «децентрализации», а хакеры уже начали переводить часть украденных средств в приватные пулы Zcash. Выбор децентрализованных протоколов между принципом «открытого доступа» и возможностью «отказа в обслуживании» вынесен на первый план этим делом.

Хакеры, стоящие за кражей 387,5 млн долларов на Bitget, начали прятать часть украденного в экранированных пулах Zcash. Он-чейн следователь ZachXBT сообщил в среду, что злоумышленники начали переводить около 2700 монет ZEC — примерно на 3,8 млн долларов — в Ironwood, экранированный пул в частной блокчейн-сети Zcash.

Экранированные пулы являются частью сети Zcash, они шифруют данные об отправителе, получателе и сумме, поэтому после поступления средств их дальнейшее движение невозможно отследить. Ironwood вышел в эксплуатацию 28 июля, заменив старый пул Orchard. Ранее исследователи обнаружили уязвимость в Orchard, которая позволяла создавать фиктивные монеты.

Согласно он-чейн данным, этот депозит составляет примерно одну седьмую от общего объема украденных во время взлома монет ZEC. Следователи по-прежнему могут видеть поступление токенов в пул и их вывод, но не имеют доступа к информации о том, что происходило внутри.

Генеральный директор Bitget Грейси Чен ранее заявила, что IP-адреса и паттерны данной атаки совпадают с тактикой хакеров из КНДР. Аналитическая компания в области блокчейна Elliptic также оценивает вероятность причастности Северной Кореи как «очень высокую». Elliptic классифицировала этот инцидент как крупнейшую предполагаемую кражу со стороны КНДР в 2026 году, что превысило общий объем потерь за год отметку в 1 млрд долларов.

Как средства дошли до этого момента

Кража началась 24 сентября, когда системы Bitget зафиксировали несанкционированные исходящие транзакции с его хот-кошелька — это кошельки, подключенные к интернету и используемые для хранения оперативных средств биржи. По словам Чен, злоумышленники взломали бэкенд-систему и подменили данные транзакций, а не украли приватные ключи. В Bitget заявляют, что фонд страхования покрывает убытки, поэтому баланс клиентов не пострадал.

Далее начался этап отмывания. TRM Labs установила, что хакеры разбили сумму на несколько новых кошельков, размещая на каждый округленные суммы — примерно по 10 000 ETH или 20 000 000 XRP. Более мелкие средства были переведены через кросс-чейн-сервисы обмена — подобные инструменты позволяют конвертировать один токен в другой в различных блокчейнах, тем самым запутывая следы — среди них такие платформы, как Thorchain, Across, Bridgers, Chainflip и FixedFloat.

Между тем позиция Near Intents заключалась в отказе. Генеральный директор Алекс Шевченко заявил во вторник, что система проверки SHIELD отклонила более 50 млн долларов по запросам на обмен, связанным с хакерами Bitget. Он отметил, что около 503 тыс. долларов были заморожены в процессе обмена, тогда как примерно 166 тыс. долларов сумели пройти.

В Near заявили, что замороженные средства будут переданы в юридический отдел для процедуры возврата. Этот шаг спровоцировал старую дискуссию в криптосообществе вокруг термина «permissionless» (без разрешений) — концепция подразумевает, что любая личность может использовать сеть без предварительного одобрения. Сооснователь Near Илья Полозумихин считает, что это не означает обязательной обработки каждой транзакции каждым приложением.

Thorchain пошел другим путем. После того как Чен публично потребовала прекратить обслуживание адресов хакеров, Thorchain опубликовал пост в X, заявив, что остановка сети является аварийным инструментом защиты протокола, а не средством для заморозки конкретных средств или блокировки обмена. Разработчики отметили, что сеть поддерживается независимыми операторами нод, и решение о ее простое принимается ими путем голосования, а не одной компанией.

Один очевидный вопрос заключается в том, что Thorchain ранее уже останавливал работу сети. Согласно собственному отчету компании, после атаки на уязвимость 15 мая, приведшей к краже на 10,7 млн долларов, сеть была полностью обесточена примерно на пять недель, прежде чем была восстановлена 22 июня.

В этот период операционная деятельность хакеров по обмену продолжалась. В понедельник он-чейн данные показали, что несколькими партиями общим объемом около 2390 ETH — примерно на 6,3 млн долларов — было обменяно на 75,2 BTC через инфраструктуру Thorchain.

Bitget предлагает вознаграждение: 5% от любой замороженной суммы, а также 5% от любого успешно возвращенного капитала, за исключением средств, полученных в результате действий по судебным решениям или требованиям правоохранительных органов.