Взлом Bitget: последние 40 000 ETH сдвинулись — около 35 000 ETH отправлено в THORChain

Большинство публикаций остановились на фразе «XRP ушёл через THORChain в биткоин». Мы прочитали XRP Ledger до самого обмена. 24 сентября два кошелька Bitget отправили 102 976 680 XRP на rwNhefsz1UQEusxhCvHip3RANinWi4CTck, который разделил их на четыре кошелька по 20 млн и один на 22 976 677 — об этом писали в тот же день.

С 25 по 27 сентября эти пять кошельков выплатили всё 479 платежами на 60 свежих аккаунтов — аккаунтов, которые собственные кошельки атакующего активировали за несколько часов до этого; на каждом остался резерв в 1 XRP. С этих 60 аккаунтов 73,4 млн XRP ушли прямо в XRP-хранилища THORChain 1 132 обменами с 25 по 28 сентября. В каждом обмене есть мемо с адресом, куда платить биткоин, так что получатель — не догадка: 28 адресов Bitcoin, бо́льшая часть — на пять из них (bc1qvmnnu4… один указан в 228 обменах на 21 млн XRP). Оставшиеся ~29,6 млн XRP прошли ещё через несколько слоёв свежих аккаунтов к тому же выходу; дальше того места, где след смешивается с собственными кошельками бирж, мы не шли.

Эти 28 адресов Bitcoin получили в сумме 1 924,8 BTC — больше, чем можно купить на один только XRP: часть из них указана и в выплатах THORChain, начавшихся не в XRP Ledger, то есть одни и те же биткоин-кошельки собирали несколько веток кражи. Все 28 пусты. Каждый был выметен дальше переводами с одним выходом на новые свежие адреса; замораживать на этом шаге нечего, а сам XRP не может заморозить никто. Все 28 адресов Bitcoin мы пометили в нашей базе; адреса XRP Ledger пометить не можем — эту сеть мы не индексируем.

На кошельках, которые описаны на этой странице, следить больше не за чем. 7 октября мы перечитали их все: первый кошелёк, кошелёк обмена, хаб и восемь кошельков хранения вместе держат меньше одного эфира пыли. Единственный остаток, который не сдвинулся, — $318 013 в USDT и USDC, замороженные на 0xe07Bd590E1198666230932BAd5db3DbBE21e7d57.

Bitget сообщает, что всего заморожено около $1,1 млн из примерно $387,5 млн украденных; замороженный кошелёк выше — чуть меньше трети этой суммы. Биржа не сказала, сколько вернулось и вернулось ли что-то, а её глава Грейси Чен заявила, что не ждёт возврата значительной части.

О том, как это произошло: Bitget со ссылкой на расследование SlowMist говорит, что атакующие использовали уязвимость нулевого дня в стороннем защитном продукте и что самая ранняя вредоносная активность в журналах относится к 31 августа — более чем за три недели до выводов 24 сентября.

О том, кто: Chainalysis приписала кражу группам, связанным с Северной Кореей; по её подсчёту, это выводит их итог за 2026 год за $1 млрд. Эта атрибуция принадлежит им. Ничто из прочитанного нами в блокчейне никого не называет, и эта страница тоже.

Четыре кошелька ровно по 10 000 ETH ждали недолго. 0x9FA39d62095302431d7d4167a7E80F8Ec6eA4FA0 отправил свои 10 000 ETH на хаб отмывания 0x600cfeDc6Bd65Fa79B604dC44964f419e45784b2 28 сентября в 18:55 UTC, 0xA6BFd7FcaF4711dA1f61D5E91d03A2c7C72dB272 — туда же 29 сентября в 01:14. 0xFd5EBe912e2061992437767e24e5BCb52a3f9e54 опустел с 07:59 до 11:38 за 74 перевода, 0xeD5a394a7558929112848B7e97B569de6bbE1A51 — с 11:43 до 15:53 за 69, на 17 новых кошельков. Ни на одном из восьми исходных кошельков хранения больше ничего нет.

С 28 сентября 18:55 UTC кошельки атакующего внесли 18 354 ETH напрямую в роутер THORChain за 329 транзакций и отправили ещё 6 402 ETH напрямую на адреса хранилищ самой THORChain. Вместе с первой волной в сторону THORChain и дальше в Bitcoin ушло уже около 35 000 ETH — примерно $93 млн. Ещё около 11 000 ETH продано через CoW Swap. Хаб отмывания 0x600cfeDc… оказался транзитным, а не отдельным маршрутом: всего через него прошло около 39 000 ETH, и 34 627 ETH из них ушли прямо на кошельки, выходы которых уже посчитаны выше. Остальные ~4 400 ETH прошли ещё через слой новых кошельков; около 1 200 ETH из них продано через CoW Swap, остальное всё ещё движется от адреса к адресу.

Часть удалось остановить. Tether и Circle заморозили $318 013 в USDT и USDC на 0xe07Bd590E1198666230932BAd5db3DbBE21e7d57 — кошельке, который эта страница 25 сентября отметила как ещё замораживаемый. NEAR Intents сообщает, что его система SHIELD отклонила попытки перевести больше $50 млн, заморозила около $503 тыс. посреди сделки и пропустила около $166 тыс. THORChain заявила, что не может блокировать отдельные адреса.

На стороне Bitcoin ZachXBT пишет, что средства перебрасывают между сетями и вносят в миксеры вроде Wasabi, а китайские операторы отмывания, работающие на атакующих, открыто просят сервисы помочь с заявками в Discord и Telegram. Bitget сообщила, что атакующий использовал уязвимость нулевого дня в стороннем продукте безопасности и получил внутренние учётные данные высокого уровня. Это не наши находки, а их.

Через три дня после кражи атакующий начал выводить отложенный ETH. 27 сентября в 07:40 UTC кошелёк хранения 0xD2C2f029eFF5caCc686F24377CfdDcfc82d9F899 был опустошён 75 переводами на новые адреса. 28 сентября 4 596 и 4 326 ETH с двух меньших кошельков хранения свели на 0x600cfeDc6Bd65Fa79B604dC44964f419e45784b2, и оттуда деньги ушли более чем сотней переводов. За два дня с кошельков хранения ушло 26 394 ETH (~$70 млн) через 245 новых промежуточных кошельков, ни один из которых раньше не использовался.

Куда, по убыванию: около 9 000 ETH в THORChain — напрямую и через прямые переводы на адреса хранилищ THORChain (в прежней версии страницы эти хранилища ошибочно названы «кормушками» атакующего; они принадлежат THORChain); около 6 600 ETH через контракт моста LayerZero/Stargate; около 7 700 ETH обменяно на CoW Swap, Uniswap и 0x; около 1 800 ETH через Skip Go в сети Cosmos; около 1 800 ETH через контракт «OnchainGateway»; меньшие суммы через Across, Umbra и Railgun. Часть обменянного ETH возвращалась на те же кошельки и уходила снова, поэтому цифры пересекаются примерно на 5 400 ETH — их стоит читать как доли, а не как бухгалтерию.

После этого Bitget подняла оценку ущерба до $387,5 млн и попросила THORChain не обслуживать адреса атакующего; THORChain отказалась, сославшись на то, что не может заморозить отдельные адреса (CoinDesk, 28 сентября; на тот момент издание насчитало 27 обменов примерно 2 390 ETH на 75,2 BTC). Наш подсчёт охватывает весь кластер и все маршруты, а не только THORChain.

THORChain — путь, который заканчивается настоящим биткоином, и именно через него отмывали крупнейшие кражи с бирж последних лет. Атакующий вышел на него за несколько часов, не трогая оставшиеся четыре кошелька по 10 000 ETH: 0x9FA39d62…, 0xA6BFd7Fc…, 0xFd5EBe91… и 0xeD5a394a… на тот момент держали 40 000 ETH; они сдвинулись 28–29 сентября (см. выше).

Все 245 кошельков этой цепочки помечены в графе рисков PublicAML и перечислены на странице инцидента — любой сервис, который проверяет адреса по нашей базе, их увидит.

По словам Bitget, несанкционированные переводы начались в 18:31 UTC 24 сентября, из горячих и тёплых кошельков, по первой оценке, ушло $351,6 млн — позже биржа подняла её примерно до $387,5 млн, досчитав активы в Zcash и Tron; биржа остановила вывод для всех пользователей и окончательный способ атаки не назвала. Ранние ончейн-оценки в $174–192 млн охватывали только EVM-сети. Разницу закрыла разбивка Lookonchain: крупнейший актив — 102,93 млн XRP (около $157 млн), дальше ETH, стейблкоины, XAUT, BNB, AVAX и TRX. Путь XRP проследили bitcoin.com и другие. Всё это не наше, и здесь мы это не повторяем.

Первый кошелёк атакующего в Ethereum — 0x770b10b273fC44Fe9197D6bF20F145c2e98463Ee. В 18:31 он получил пробные 0,84 ETH с Bitget 6 (0x1AB4973a48dc892Cd9971ECE8e01DcC7688f8F23), затем с того же кошелька 34 751 168 USDT, 12 852 046 USDC и 9 234 ETH, а с Bitget 5, 0x5bdf85216ec1e38D6458C870992A69e38e03F7Ef, — 3 000,32 XAUT.

Большая часть ETH пришла с третьего кошелька — Bitget 35 (0xffa8DB7B38579e6A2D14f9B347a9acE4d044cD54, так он подписан на Etherscan, и Bitget 6 его регулярно пополняет): 15 361,83 ETH тремя переводами — в 19:03, 19:16 и 20:09. Всего атакующий забрал напрямую из Bitget в Ethereum 24 596,6 ETH.

USDT и USDC эмитенты могут заморозить, ETH — нет. С 19:07 до 19:46 атакующий перевёл стейблкоины и золотой токен на кошелёк с делегированием EIP-7702, 0x7c96279Ec1e888Aa56b9B836e0dB26ca48573E1C, и продал их через голландские ордера UniswapX и пулы Uniswap за 22 612,7 ETH. Этот ETH ушёл на хаб 0xA6dD3F218B65E32Ccc37BE30f74884133c655545 двумя переводами (22 320 и 292 ETH).

На тот же хаб затем пришло ещё около 21 000 ETH с кошельков, получивших его через мосты — Stargate, Across и deBridge — и через обмены в Ethereum. Атакующий использовал те же адреса в Arbitrum, BNB Chain, Avalanche, Base и Optimism; на 25 сентября там почти ничего не осталось. Всё обменянное собрано обратно в Ethereum.

С первого кошелька и с хаба ETH разрезали на круглые части и отложили: шесть кошельков ровно по 10 000 ETH, один с 4 596,47 и один с 3 698,10. Вместе со 170 ETH, оставшимися на одном из приёмных кошельков, это 68 465 ETH — около $183 млн по цене 25 сентября. Ни один кошелёк хранения с момента пополнения не отправил ни одной транзакции.

Восемь кошельков хранения на 25 сентября: 0x9FA39d62095302431d7d4167a7E80F8Ec6eA4FA0, 0xA6BFd7FcaF4711dA1f61D5E91d03A2c7C72dB272, 0xFd5EBe912e2061992437767e24e5BCb52a3f9e54, 0xeD5a394a7558929112848B7e97B569de6bbE1A51, 0xD2C2f029eFF5caCc686F24377CfdDcfc82d9F899, 0x600cfeDc6Bd65Fa79B604dC44964f419e45784b2 (по 10 000 ETH), 0xDc2901f741B4003e32B8B752e97b8c4C1891dC63 (4 596,47 ETH) и 0x52f08Feb1B0Da609A5442514E2Bb43C99D25d284 (3 698,10 ETH).

На одном приёмном кошельке, 0xe07Bd590E1198666230932BAd5db3DbBE21e7d57, до сих пор лежат 218 023 USDT и 99 990 USDC. Их Tether и Circle ещё могут заморозить.

Самого атакующего тоже атакуют: адреса-двойники с теми же первыми и последними символами (0x7C93…3e1C для 0x7c96…3E1C, 0xA6DD…, 0xDc29…) присылают на его кошельки нулевые переводы и поддельные токены «ETH» и «USDT». Это отравление адресов — расчёт на то, что следующий, кто скопирует адрес из истории, ошибётся.

Она никого не называет. Bitget указала на группу, связанную с Северной Кореей, но назвала это неподтверждённым; мы к этому ничего не добавляем. Один ончейн-исследователь связал вывод XRP со взломом AFX в июле. Мы проверили эту связь в Ethereum — на два шага от кошелька атакующего AFX 0x627654B2782BFc57580ecd11d40869B350b6EBaC — и общих адресов не нашли; это ни подтверждает, ни опровергает связь.

Все 20 адресов атакующего в Ethereum помечены в графе рисков PublicAML и перечислены на странице инцидента. За кошельками хранения установлено наблюдение: страница будет обновлена, когда любой из них сдвинется.