С 6 по 11 ноября с кошельков, связанных со взломом Bitget, вывели 1052,34 BTC стоимостью около $78,61 млн. Примерно 80,5% этой суммы распределили между 66 транзакциями и отправили в миксер CoinJoin.
На момент последнего среза данных на отслеживаемых кошельках оставались 959,29 BTC стоимостью $71,44 млн. Перемещения связаны с сентябрьской атакой на биржу: после уточнения состава похищенных активов в Bitget оценили ущерб в $387,5 млн.
За шесть дней средний объем исходящих переводов составил 175,39 BTC, или около $13,1 млн в сутки. Максимальную активность аналитики Arkham Intelligence зафиксировали 11 ноября. К 11:58 UTC с помеченных адресов ушло 296,74 BTC на сумму $21,83 млн. Это более чем вдвое превышало показатель 6 ноября, хотя данные за 11 ноября охватывали лишь период до полудня.
Не все перемещенные средства попали в CoinJoin. Аналитики выделили еще 205,08 BTC стоимостью $15,18 млн. Из них 172,33 BTC оставались на 250 адресах, а 16,38 BTC продолжали перемещаться по цепочке переводов. Еще 10 BTC поступили в Maya Protocol.
Для отправки средств в CoinJoin использовались два маршрута. Напрямую с уже известных кошельков, помеченных Arkham, поступило 579,80 BTC на сумму $43,59 млн. Другие 267,46 BTC стоимостью $19,84 млн сначала прошли через новые адреса, при этом было совершено от одного до шести промежуточных переводов. Таким образом, около двух третей биткоинов, направленных в CoinJoin, поступили туда непосредственно с помеченных адресов.
CoinJoin объединяет входы нескольких участников в общую биткоин-транзакцию с новыми выходами. В документации протокола WabiSabi описан механизм, при котором координатор и остальные участники не видят прямого соответствия между конкретным входом и выходом. Это усложняет установление связи между исходными биткоинами и адресами их получения. При этом в самой документации отмечено, что особенности реализации, например суммы, типы скриптов или повторное использование адресов, могут раскрывать такие связи.
Взлом Bitget произошел 24 сентября. Первоначально представители биржи сообщили о выводе активов на сумму $351,6 млн, а затем увеличили оценку до $387,5 млн. В компании объяснили пересмотр включением переводов в сетях Zcash и TRON, которые не учитывались в первоначальном расчете. Как заявили в Bitget, речь шла об уточнении последствий уже произошедшего инцидента, а не о новых несанкционированных выводах.
К расследованию представители биржи привлекли Mandiant и SlowMist. В сентябрьском пресс-релизе в Bitget сообщили, что установили путь атаки и устранили использованную уязвимость. Параллельно в компании запустили программу вознаграждений за помощь в блокировке и возврате похищенных средств.
Программа предусматривает две отдельные выплаты: 5% от суммы средств, замороженных благодаря непосредственному содействию участника, и еще 5% от суммы активов, которые удалось вернуть. Решения о соответствии условиям, размере вклада и выплатах принимают в Bitget. Действия, выполненные по судебным решениям, запросам правоохранительных органов или в рамках других юридических процедур, не подпадают под условия программы вознаграждения.
