Bitget攻击者41分钟内将7548万美元换成ETH与Avalanche (AVAX)

这起入侵持续了2小时52分钟。9月25日(周五)北京时间02:31,两笔测试性提款先后离开Bitget:以太坊热钱包转出0.84 Ethereum (ETH),波场钱包转出93 TRX,金额均低于会触发告警的阈值。02:58,大规模资金外流开始。03:05,Bitget的对账系统标记出重大差异,风控随即冻结全平台用户提现,但转账并未停止,原因在于攻击者早已把伪造的提款指令直接写入了钱包系统。最后一笔转账在05:23发出,是交易所追踪面板上记录的第26笔成功外转;05:44,Bitget关停了签名机。交易所的事后说明把根因指向第三方安全产品中的一个零日漏洞:入侵者借此窃取了高权限内网凭证,注入伪造指令,绕过风控校验,并在每笔转账完成后删除记录。Bitget强调,私钥从未暴露,其与热钱包所在的HD钱包架构相互隔离的冷钱包未受任何影响。损失估算最初约为3.516亿美元,在计入Zcash与波 направления被这部分资产后修正至约3.875亿美元,分散在12条区块链上的13种资产中,其中XRP是单链损失最大的一笔。用户余额未受影响,由保护基金兜底。决定换币节奏的并不是Avalanche (AVAX) 价格或以太币价格,而是速度:约7548万美元的USDT、USDC和USDT0,外加3000枚XAUt黄金代币,在每笔盗窃得手后的41分钟内,经由UniswapX、Uniswap、1inch以及MetaMask内置兑换换成ETH或AVAX,全部清算都赶在Bitget CEO Gracy Chen于05:30首次公开发声之前完成。

截至9月29日的链上追踪显示,资金分三步走:先把可被冻结的资产换成原生代币,然后全部向比特币(BTC) 汇集,再把BTC送入CoinJoin混币。交易所追踪面板的数据截至9月29日(周二)北京时间20:30,约90%的在途跨链流量源自以太坊,到该快照时这一趋势已持续近五天。THORChain是这批跨链服务中体量最大的一家,净流入约2.69亿美元,涉及7804笔交易;该服务以原子交换模式为基础,在无需托管方的情况下结算链与链之间的资产兑换,也因此成为这批跨链桥中最先被点名的一家。Chainflip随后,约3727万美元。需要说明的是,这些是过路数字,不能简单相加,因为同一批资金可以穿过多家服务。CoinJoin累计规模接近394万美元,与攻击者持有的比特币体量相比很小。9月27日(周日)19:03记录的一笔CoinJoin交易包含356个输入和401个输出;其中四个各2.5 BTC的输入可追溯到攻击者地址,而输出清单中有21笔完全相同的0.02097152 BTC,链上分析无法将它们归属到任何单一持有者。到失窃后第五天,攻击者仍控制约3.42亿美元,占被盗总额的88.3%:约83.7%为BTC,约合3386枚;8.5%为ZEC;7.3%为Ethereum (ETH),约9357枚;0.2%为稳定币。公开可见的冻结金额仅约84万美元,约为赃款的0.2%。Tether与Circle冻结了约34万美元,主要是作为跨链中转停留在途中的稳定币;NEAR Intents则在9月28日(周一)披露,其SHIELD筛查在攻击者试图将超过5000万美元推过该服务时,于执行中途截停了约50.3万美元。Gracy Chen曾在9月26日(周六)公开要求THORChain拒绝攻击者地址,该协议回应称自己不做审查;截至9月29日,被盗资金仍在通过它从ETH流向BTC。

仍有3.42亿美元在攻击者手中

41分钟的换币窗口,是链上数据反复回到的那个数字。一旦可冻结的稳定币变成ETH和AVAX,发行方的冻结手段就只能捞起零星尾巴:最终被冻结的约84万美元,对照3.875亿美元的总失窃额,量出的正是这道时间差。Bitget的事后说明将根因归于第三方安全产品的零日漏洞,攻击者借此窃取特权凭证并写入伪造提款指令,补救措施则是05:44关停签名机。截至9月29日,约3.42亿美元仍留在攻击者控制的地址上。同样值得留意的是承载被盗资金的那条Avalanche网络本身:它同时承载着机构试点,从纽约证交所为期一年的技术测试到高盛的代币化国债基金都在其上运行。在我们的最佳加密货币交易所评估清单中,决定性变量从来不是选哪条链,而是托管纪律。