Włamanie na Bitget: straty wzrosły do 387,5 mln dolarów. Co wiadomo o środkach i wypłatach?

Bitget podniósł szacunek wartości aktywów przesłanych na adresy kontrolowane przez atakujących podczas włamania z 24 września do około 387,5 mln dolarów. Początkowo giełda mówiła o 351,6 mln dolarów. Bitget deklaruje, że straty klientów pokryje Fundusz Ochrony Użytkowników. W międzyczasie część środków miała przepływać przez THORChain i inne usługi. Szczegółowy przebieg ataku nie został jednak ostatecznie potwierdzony: w doniesieniach pojawiła się hipoteza o przejęciu systemu portfeli zaplecza, ale dostępne źródła nie zawierają kompletnego raportu technicznego, który potwierdzałby tę sekwencję.63342

Co wydarzyło się na Bitget?

Giełda poinformowała, że 24 września o 18:31 UTC wykryła nieautoryzowane transfery z części portfeli gorących, czyli podłączonych do sieci. W pierwszym komunikacie podała, że naruszenie objęło fragmenty warstw portfeli gorących i ciepłych, natomiast portfele zimne pozostały bezpieczne. Późniejszy szacunek — około 387,5 mln dolarów — uwzględnia dalsze śledzenie i klasyfikację aktywów wysłanych na adresy kontrolowane przez atakujących.216

Jedna z publikacji opisała możliwy scenariusz, w którym napastnicy przejęli system portfeli zaplecza i wprowadzali sfałszowane transfery do procesu autoryzacji transakcji.33 Inne doniesienia zaznaczały, że wektor ataku nie został jeszcze w pełni ustalony i wymaga szerszego wyjaśnienia.42 Bitget twierdzi, że wykrył i usunął podatność, ale samo to nie potwierdza wszystkich szczegółów opisywanej metody.618

Harmonogram przywracania wypłat

Bitget opublikował etapowy plan wznowienia wypłat. Wszystkie godziny podano w UTC. To harmonogram przywracania usług, a nie gwarancja, że każda wypłata będzie dostępna dokładnie o wskazanej porze. Według doniesień wypłaty bitcoinów wznowiono 28 września o 08:00 UTC.420

Planowany termin	Wypłaty
28 września, 08:00	BTC w sieciach Bitcoin i BSC
29 września, 08:00	ETH w sieciach Ethereum, BSC, Arbitrum, Base i Optimism
30 września, 08:00	USDT w sieciach Ethereum, BSC, Solana i Tron
2 października, 08:00	Pozostałe tokeny, waluty fiducjarne i wypłaty P2P

Giełda poinformowała, że przed przywróceniem usług prowadzi dodatkowe kontrole bezpieczeństwa infrastruktury wypłat. Osobno, w czasie przeglądu bezpieczeństwa, tymczasowo niedostępny był także handel Onchain. W przytoczonym komunikacie nie podano konkretnej daty jego wznowienia.182017

Jak Bitget zamierza pokryć straty klientów?

Bitget zapewnia, że straty mieszczą się w zakresie ochrony Funduszu Ochrony Użytkowników. W doniesieniach jego wartość szacowano wówczas na około 464 mln dolarów.46 To deklaracja giełdy dotycząca pokrycia strat — dostępne źródła nie potwierdzają, że rekompensaty dla klientów zostały już wypłacone w całości.

Dokąd trafiły skradzione środki?

Według doniesień atakujący wymieniali skradzione ETH na bitcoiny za pośrednictwem THORChain, protokołu umożliwiającego wymianę aktywów między różnymi blockchainami. Bitget poprosił tę usługę o odmowę obsługi adresów powiązanych z włamaniem, ale THORChain odmówił. Późniejsze relacje podawały, że środki nadal przepływały przez protokół. Spór unaocznił napięcie między próbami zatrzymania podejrzanych aktywów a działaniem THORChain w modelu bez uprawnień — bez centralnego podmiotu, który selektywnie zatwierdza każdą transakcję.58

Circle i Tether miały zamrozić część powiązanych z incydentem stablecoinów. Jedne doniesienia szacowały tę kwotę na około 318 tys. dolarów, inne — na około 339 tys. Dostępne źródła nie wyjaśniają rozbieżności, dlatego wartości te należy traktować jako szacunki, a nie uzgodniony łączny wynik.23

Bitget uruchomił również program nagród za odzyskiwanie środków: przewiduje osobne premie w wysokości 5 proc. za kwalifikującą się pomoc w zamrożeniu aktywów i 5 proc. za pomoc w ich odzyskaniu.19 Z kolei osobny raport wskazał, że 4 BTC powiązane z atakującym skierowano przez Wasabi CoinJoin — narzędzie zwiększające prywatność transakcji.10 Opisy te przedstawiają część działań związanych ze śledzeniem środków, ale nie oznaczają odzyskania całej skradzionej kwoty.

Co nadal pozostaje niewyjaśnione?

Bitget informuje, że podatność została usunięta, a prace nad walidacją zabezpieczeń i śledzeniem przepływu aktywów trwają. W dochodzeniu wspierają giełdę firmy Mandiant i SlowMist.618 Dostępne doniesienia nie potwierdzają, kto stoi za atakiem. Nie wynika z nich też, że udało się odzyskać całość środków albo zakończyć wypłaty rekompensat wszystkim klientom.