Bitget-Hacker leitet 4 BTC über Wasabi CoinJoin um

Einige Vermögenswerte, die mit dem Sicherheitsvorfall bei Bitget verbunden sind, sind nach dem Durchlaufen mehrerer Blockchains und Swap-Routen in Wasabi CoinJoin eingetreten, so die Blockchain-Compliance-Firma AMLBot.

Zusammenfassung

• AMLBot verfolgte ungefähr vier BTC, die mit dem Diebstahl von Bitget verbunden sind, in eine Wasabi CoinJoin-Transaktionsrunde.
• Die Gelder wurden von TRON über USDT0, Ethereum und THORChain zu Bitcoin-Adressen für das Mixing bewegt.
• Bitget bestätigt nun, dass während des Vorfalls im September etwa 387,5 Millionen USD auf Adressen, die von Angreifern kontrolliert werden, transferiert wurden.
• Schätzungen von AMLBot zufolge blieben bis zum 25. September etwa 343 Millionen USD in dreizehn Angreifer-Wallets inaktiv.
• Bitget plant ab dem 28. September schrittweise Abhebungen, nachdem die zugrunde liegende Sicherheitsanfälligkeit identifiziert und behoben wurde.

AMLBot gab am 27. September bekannt, dass seine Nachverfolgung ungefähr 4 BTC in einer CoinJoin-Runde mit Mitteln aus einer mit Bitget verbundenen TRON-Wallet verband. Das Unternehmen beschrieb die Aktivität als einen offensichtlichen Versuch, die Bewegung gestohlener Vermögenswerte zu verschleiern.

Diese Erkenntnis kommt, nachdem Bitget den Wert der auf Angreifer kontrollierte Adressen transferierten Vermögenswerte auf etwa 387,5 Millionen USD revidiert hat. Das offizielle Update der Untersuchung der Börse besagte, dass die neue Gesamtsumme Zcash- und TRON-Vermögenswerte umfasst, die in der ursprünglichen Schätzung von 351,6 Millionen USD fehlten.

Update: Es scheint, dass gestohlene Gelder aus dem @bitget-Hack begonnen haben, über Wasabi CoinJoin (Mixer) gewaschen zu werden

Unsere Nachverfolgung verbindet ~4 BTC in einer CoinJoin-Runde zurück zu einer Bitget TRON-Wallet. Die Gelder wurden von TRX in USDT getauscht, über @USDT0_to nach Ethereum überbrückt, in ~145... https://t.co/8JBaoMM1xp pic.twitter.com/ncTVyeIT3S --- AMLBot (@AMLBotHQ) 26. September 2026

Bitget-Gelder wurden durch vier Netzwerke vor CoinJoin bewegt

AMLBot verfolgte eine mehrstufige Route, die auf TRON begann. Laut dem Bericht des Unternehmens konvertierte der Angreifer zunächst TRX in USDT. Die Gelder wurden dann über USDT0, eine Omnichain-Version von Tether, die für Übertragungen zwischen unterstützten Netzwerken konzipiert ist, nach Ethereum bewegt.

Sobald sie auf Ethereum waren, wurden die Vermögenswerte in ungefähr 145 ETH getauscht. AMLBot gab an, dass die ETH anschließend über THORChain bewegt und in etwa 4,59 BTC umgewandelt wurde.

Das Bitcoin wurde dann in kleinere Beträge aufgeteilt, bevor es eine Wasabi CoinJoin-Runde erreichte. AMLBot sagte, dass seine Analyse ungefähr 4 BTC in dieser Transaktion mit der Bitget TRON-Wallet verbinden konnte.

CoinJoin kombiniert Bitcoin-Eingaben und -Ausgaben von mehreren Teilnehmern in einer einzigen Transaktion. Diese Technik kann die Nachverfolgung von Transaktionen erschweren, da Blockchain-Beobachter nicht einfach einen Eingang einer entsprechenden Ausgabe zuordnen können.

AMLBot charakterisierte die Aktivität als Geldwäsche über Wasabi CoinJoin und gab an, dass es die verbundenen Adressen auf die schwarze Liste gesetzt hat. Das Unternehmen überwacht weiterhin das Bitcoin auf weitere CoinJoin-Aktivitäten.

Die Zuordnung bleibt AMLBots Blockchain-Analyse. Öffentliche Blockchain-Aufzeichnungen zeigen Übertragungen zwischen Adressen, Swaps und Cross-Chain-Aktivitäten, aber der Zweck jeder Transaktion wird aus dem beobachteten Fluss und der Adressenzuordnung abgeleitet.

Eine Zusammenfassung von Binance News, die am 27. September veröffentlicht wurde, wiederholte die gleiche Abfolge und zitierte Berichte, die auf AMLBots Nachverfolgung basieren.

Bitget erhöht bestätigten Verlust auf 387,5 Millionen USD

Bitget gab zunächst an, dass der Vorfall vom 24. September etwa 351,6 Millionen USD an Vermögenswerten betraf, nachdem unbefugte Übertragungen von Teilen seiner Hot- und Warm-Wallet-Infrastruktur stattgefunden hatten.

Die Börse entdeckte die Aktivität um 18:31 UTC und stellte die Abhebungen ein, während Einzahlungen und der Handel weiterhin möglich waren. Kalte Wallets blieben laut Bitgets ursprünglicher Sicherheitsmitteilung sicher.

Bis zum 25. September hatte die Transaktionsklassifizierung von Bitget den bestätigten Betrag auf etwa 387,5 Millionen USD erhöht. Die Börse gab an, dass der Anstieg nicht auf neue Diebstähle nach dem Vorfall zurückzuführen war. Die Ermittler hatten stattdessen zusätzliche Zcash- und TRON-Vermögenswerte identifiziert, die an dem ursprünglichen Vorfall beteiligt waren.

Betroffene Vermögenswerte umfassten ETH, XRP, USDT, USDC, USDT0, ZEC, XAUt, BNB, AVAX und TRX. Bitget veröffentlichte die von den Angreifern kontrollierten Adressen auf Ethereum-kompatiblen Netzwerken, XRP Ledger, Zcash und TRON im Rahmen seiner Wiederherstellungsarbeiten.

Die vorläufigen Ergebnisse von Bitget deuteten auf einen Kompromiss der Backend-Wallet-Infrastruktur hin, anstatt auf einen Leak von privaten Schlüsseln. CEO Gracy Chen sagte, dass die privaten Schlüssel sicher geblieben seien, während die Ermittler daran arbeiteten, den genauen Eindringpfad zu identifizieren.

Bitget erklärte später, dass sein Sicherheitsteam den Angriffsweg und die Methode identifiziert habe, die verwendet wurde, um bestehende Kontrollen zu umgehen. Das Unternehmen gab an, dass die zugrunde liegende Schwachstelle behoben worden sei, obwohl es keinen vollständigen technischen Bericht über die Ursache des Exploits veröffentlicht habe.

AMLBot sagt, dass die meisten gestohlenen Vermögenswerte inaktiv bleiben

Die CoinJoin-Aktivität stellt nur einen kleinen Teil der mit dem Vorfall verbundenen Gelder dar.

In einem Update vom 25. September sagte AMLBot, dass etwa 343 Millionen USD, was rund 88 % der etwa 389 Millionen USD entspricht, die es verfolgte, sich nicht bewegt hätten. Die Zahl des Unternehmens basierte auf Adressen, die es dem Angreifer zugeordnet hatte.

AMLBot identifizierte 13 inaktive Wallets, die mehrere Vermögensarten hielten. Acht Ethereum-Wallets enthielten etwa 68.300 ETH, während vier XRP-Adressen rund 83 Millionen XRP hielten. Eine weitere Wallet enthielt fast 18.900 ZEC.

Das Unternehmen sagte, dass keine dieser 13 Adressen seit dem Empfang der Gelder eine Transaktion gesendet habe. Das nachfolgende Wasabi-Update betrifft einen anderen Teil der gestohlenen Vermögenswerte, die bereits zwischen Ketten und Vermögenswerten bewegt wurden.

Andere Forscher haben separate Umwandlungsaktivitäten verfolgt. Crypto.news berichtete am 25. September, dass die Sicherheitsforscherin Taylor Monahan gestohlene USDC identifiziert habe, die nach dem Angriff bewegt und in ETH umgewandelt wurde.

Ihre Ergebnisse zeigten, dass die von Angreifern kontrollierten Vermögenswerte nach dem Verlassen von Bitget über Brücken und getauscht wurden. Der Bericht stellte fest, dass Circle USDC an bestimmten Adressen einfrieren kann, wenn die gesetzlichen Anforderungen erfüllt sind, obwohl die öffentliche Transaktionsspur nicht feststellte, ob zu diesem Zeitpunkt ein qualifizierter rechtlicher Auftrag Circle erreicht hatte.

Die nachfolgende AMLBot-Verfolgung zeigt einen weiteren Teil des Flusses, der von TRON nach Ethereum und dann über THORChain in Bitcoin und schließlich in CoinJoin übergeht.

Bitget bereitet schrittweise Wiedereröffnung der Abhebungen vor

Bitget bereitet sich darauf vor, die Abhebungsdienste wiederherzustellen, nachdem das für den Vorfall verantwortliche Sicherheitsproblem behoben wurde.

Der Abhebungszeitplan der Börse beginnt mit Bitcoin um 08:00 UTC am 28. September. ETH-Abhebungen auf Ethereum, BSC, Arbitrum, Base und Optimism sind für den 29. September geplant.

USDT-Abhebungen auf Ethereum, BSC, Solana und TRON sollen am 30. September wieder aufgenommen werden. Andere Token-Abhebungen, Fiat-Dienste und Peer-to-Peer-Abhebungen werden voraussichtlich am 2. Oktober zurückkehren.

Bitget sagte, dass Mandiant und SlowMist weiterhin bei der Sicherheitsuntersuchung helfen, während die technischen Teams Validierungsarbeiten an der Abhebungsinfrastruktur durchführen.

Wie Crypto.news über den Wiedereröffnungsplan berichtete, sagt Bitget, dass sein Schutzfonds den finanziellen Verlust aus dem Vorfall abdecken wird und die Kontostände der Kunden unverändert bleiben. Die Börse berichtete, dass der Fonds während der Abhebungspause mehr als 464 Millionen USD hielt.

Das Update zur Nachweisführung von Bitget im September, das vor dem Vorfall veröffentlicht wurde, zeigte ein Gesamtreserveverhältnis von 135 % über 19 abgedeckte Vermögenswerte. Die Börse gibt an, dass sie ein Verhältnis von mindestens 1:1 für die Benutzervermögenswerte, die durch das Programm abgedeckt sind, aufrechterhält. CEO Gracy Chen wird am 28. September um 07:30 UTC eine Live-AMA veranstalten, in der es um den Vorfall, die Wiederherstellung der Abhebungen und die nächsten Schritte der Börse geht.