Взлом Bitget: 68 465 ETH лежат нетронутыми на восьми кошельках атакующего

По словам Bitget, несанкционированные переводы начались в 18:31 UTC 24 сентября, из горячих и тёплых кошельков ушло $351,6 млн; биржа остановила вывод для всех пользователей и окончательный способ атаки не назвала. Ранние ончейн-оценки в $174–192 млн охватывали только EVM-сети. Разницу закрыла разбивка Lookonchain: крупнейший актив — 102,93 млн XRP (около $157 млн), дальше ETH, стейблкоины, XAUT, BNB, AVAX и TRX. Путь XRP проследили bitcoin.com и другие. Всё это не наше, и здесь мы это не повторяем.

Первый кошелёк атакующего в Ethereum — 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee. В 18:31 он получил пробные 0,84 ETH с Bitget 6 (0x1AB4973a48dc892Cd9971ECE8e01DcC7688f8F23), затем с того же кошелька 34 751 168 USDT, 12 852 046 USDC и 9 234 ETH, а с Bitget 5, 0x5bdf85216ec1e38D6458C870992A69e38e03F7Ef, — 3 000,32 XAUT.

Большая часть ETH пришла с третьего кошелька — Bitget 35 (0xffa8DB7B38579e6A2D14f9B347a9acE4d044cD54, так он подписан на Etherscan, и Bitget 6 его регулярно пополняет): 15 361,83 ETH тремя переводами — в 19:03, 19:16 и 20:09. Всего атакующий забрал напрямую из Bitget в Ethereum 24 596,6 ETH.

USDT и USDC эмитенты могут заморозить, ETH — нет. С 19:07 до 19:46 атакующий перевёл стейблкоины и золотой токен на кошелёк с делегированием EIP-7702, 0x7c96279Ec1e888Aa56b9B836e0dB26ca48573E1C, и продал их через голландские ордера UniswapX и пулы Uniswap за 22 612,7 ETH. Этот ETH ушёл на хаб 0xA6dD3F218B65E32Ccc37BE30f74884133c655545 двумя переводами (22 320 и 292 ETH).

На тот же хаб затем пришло ещё около 21 000 ETH с кошельков, получивших его через мосты — Stargate, Across и deBridge — и через обмены в Ethereum. Атакующий использовал те же адреса в Arbitrum, BNB Chain, Avalanche, Base и Optimism; на 25 сентября там почти ничего не осталось. Всё обменянное собрано обратно в Ethereum.

С первого кошелька и с хаба ETH разрезали на круглые части и отложили: шесть кошельков ровно по 10 000 ETH, один с 4 596,47 и один с 3 698,10. Вместе со 170 ETH, оставшимися на одном из приёмных кошельков, это 68 465 ETH — около $183 млн по цене 25 сентября. Ни один кошелёк хранения с момента пополнения не отправил ни одной транзакции.

Восемь кошельков хранения на 25 сентября: 0x9FA39d62095302431d7d4167a7E80F8Ec6eA4FA0, 0xA6BFd7FcaF4711dA1f61D5E91d03A2c7C72dB272, 0xFd5EBe912e2061992437767e24e5BCb52a3f9e54, 0xeD5a394a7558929112848B7e97B569de6bbE1A51, 0xD2C2f029eFF5caCc686F24377CfdDcfc82d9F899, 0x600cfeDc6Bd65Fa79B604dC44964f419e45784b2 (по 10 000 ETH), 0xDc2901f741B4003e32B8B752e97b8c4C1891dC63 (4 596,47 ETH) и 0x52f08Feb1B0Da609A5442514E2Bb43C99D25d284 (3 698,10 ETH).

На одном приёмном кошельке, 0xe07Bd590E1198666230932BAd5db3DbBE21e7d57, до сих пор лежат 218 023 USDT и 99 990 USDC. Их Tether и Circle ещё могут заморозить.

Самого атакующего тоже атакуют: адреса-двойники с теми же первыми и последними символами (0x7C93…3e1C для 0x7c96…3E1C, 0xA6DD…, 0xDc29…) присылают на его кошельки нулевые переводы и поддельные токены «ETH» и «USDT». Это отравление адресов — расчёт на то, что следующий, кто скопирует адрес из истории, ошибётся.

Она никого не называет. Bitget указала на группу, связанную с Северной Кореей, но назвала это неподтверждённым; мы к этому ничего не добавляем. Один ончейн-исследователь связал вывод XRP со взломом AFX в июле. Мы проверили эту связь в Ethereum — на два шага от кошелька атакующего AFX 0x627654B2782BFc57580ecd11d40869B350b6EBaC — и общих адресов не нашли; это ни подтверждает, ни опровергает связь.

Все 20 адресов атакующего в Ethereum помечены в графе рисков PublicAML и перечислены на странице инцидента. За кошельками хранения установлено наблюдение: страница будет обновлена, когда любой из них сдвинется.