Куди хакер Бітґет перевів біткоїни на $78,61 млн
Хакер Бітґет (Bitget) за шість днів перевів із позначених гаманців 1 052,34 BTC вартістю $78,61 млн. За даними аналітичної компанії Аркем (Arkham), більша частина коштів потрапила до транзакцій КойнДжойн (CoinJoin), які ускладнюють відстеження зв’язку між учасниками переказів.
З 6 до 11 листопада включно до 66 таких транзакцій надійшло 847,26 BTC на $63,43 млн — приблизно 80,5% від виведених за цей період біткоїнів. На момент останнього знімка даних у відстежуваних гаманцях залишалося 959,29 BTC вартістю $71,44 млн.
Останнє оновлення Аркем було оприлюднене у гілці, датованій 12 листопада. Компанія відстежила надходження коштів до транзакцій CoinJoin починаючи з 09:27 за UTC 6 листопада. Частина біткоїнів надходила туди безпосередньо з позначених гаманців, решта проходила через нові адреси. У дописі Аркем від 11 листопада також наведено шестиденний підсумок виведення коштів та залишок у гаманцях.
Щоденні перекази зросли до майже 300 BTC
Аналіз Аркем показав, що з 6 листопада із гаманців щодня виводили в середньому 175,39 BTC, або $13,10 млн. Найбільший обсяг за шість днів зафіксували 11 листопада: станом на 11:58 за UTC було виведено 296,74 BTC вартістю $21,83 млн.
На початку періоду, 6 листопада, переказали 137,71 BTC на $10,47 млн, а наступного дня — 156,04 BTC на $11,86 млн. 8 листопада активність сповільнилася до 16,75 BTC, або $1,27 млн. Після цього обсяги зростали три дні поспіль: 206,31 BTC 9 листопада, 238,79 BTC 10 листопада і 296,74 BTC 11 листопада.
Показник останнього дня більш ніж удвічі перевищив обсяг 6 листопада, хоча дані за 11 листопада охоплювали лише час до полудня за UTC.
Раніше, станом на 24 жовтня, Аркем відстежила перекази на $19,48 млн за період із 21 до 24 жовтня. Тоді майже всі кошти надійшли на нові адреси, а отримувачів серед бірж чи сервісів змішування не виявили. Залишок на позначених адресах компанія тоді оцінила у $242,54 млн, зокрема 2 960,01 BTC. Останні знімки показують значно менший залишок біткоїнів, а також стейблкоїни та інші активи.
Як кошти потрапляли до CoinJoin
Із 847,26 BTC, що надійшли до транзакцій CoinJoin, Аркем відстежила 579,80 BTC на $43,59 млн безпосередньо з позначених гаманців. Ще 267,46 BTC вартістю $19,84 млн пройшли через нові адреси за один–шість проміжних переказів. Прямі перекази становили приблизно 68,4% біткоїнів, що потрапили до CoinJoin; решта надійшла через посередницькі адреси.
Документація протоколу ВабіСабі (WabiSabi) описує транзакції, які об’єднують біткоїн-входи учасників і створюють виходи, не розкриваючи координатору чи іншим учасникам прямого зв’язку між входом і виходом.
Раніше подібну активність виявляли у меншому масштабі. У вересні компанія ЕйЕмЕлБот (AMLBot) пов’язала приблизно 4 BTC із CoinJoin, простеживши маршрут коштів із Трон (TRON) через USDT0, Етеріум (Ethereum) і Торчейн (THORChain). Компанія назвала цей маршрут очевидною спробою приховати викрадені активи.
Інші перекази та залишки активів
Ще 205,08 BTC вартістю $15,18 млн Аркем класифікувала як переведені, але не проведені через CoinJoin. Із них 172,33 BTC на $12,72 млн залишалися невитраченими на 250 адресах, а 16,38 BTC вартістю $1,22 млн усе ще рухалися після шести проміжних переказів.
У розбивці також зазначено 10 BTC на $760 000, відправлених до Майя Протокол (Maya Protocol), і 4,37 BTC вартістю $330 500, розподілених між 433 невеликими виходами.
За даними Аркем, біткоїн становив понад 99% портфеля позначених гаманців, на яких ще були активи. Загальну вартість портфеля оцінили у $71,86 млн. На інформаційній панелі приблизно $339 320 класифікували як заморожені кошти, а $71,52 млн — як ліквідні.
Окрім біткоїнів, знімок портфеля містив 241 026 USDT, 134 456 USDC і 18,358 ETH, а також менші залишки TRX та USDD.
Винагороди за заморожування і повернення коштів
Ці перекази відбуваються після злому 24 вересня. Біржа Бітґет спочатку оцінила його у $351,6 млн, а згодом переглянула загальну суму переведених активів до $387,5 млн. В оновленні розслідування компанія пояснила, що до переглянутої суми увійшли активи Зікеш (Zcash) і Трон, пропущені в першому підрахунку. Додаткових несанкціонованих виведень ця зміна не означала.
Програма винагород біржі передбачає для учасників, які відповідають її умовам, 5% коштів, які вони безпосередньо допоможуть заморозити, і окремо 5% коштів, які вони безпосередньо допоможуть повернути. Право на винагороду, внесок учасників і виплати визначає компанія. Дії на виконання судових рішень, запитів правоохоронців чи інших юридичних процедур із програми виключені.
У вересневому повідомленні біржа назвала партнерами з розслідування компанії Мандіант (Mandiant) і СлоуМіст (SlowMist), а також заявила, що виявила й усунула вразливість, яка стала причиною злому.
