Un hacker de Bitget a routé 4 BTC via Wasabi CoinJoin

Certains actifs liés à la violation de sécurité de Bitget ont été intégrés dans un CoinJoin de Wasabi après avoir transité par plusieurs blockchains et routes d'échange, selon la société de conformité blockchain AMLBot.

Résumé

• AMLBot a retracé environ quatre BTC liés au vol de Bitget dans un tour de transaction CoinJoin de Wasabi.
• Les fonds ont été transférés de TRON via USDT0, Ethereum et THORChain avant d'atteindre des adresses Bitcoin pour le mélange.
• Bitget confirme maintenant qu'environ 387,5 millions de dollars ont été transférés vers des adresses contrôlées par les attaquants lors de la violation de septembre.
• Environ 343 millions de dollars sont restés dormants dans treize portefeuilles d'attaquants au 25 septembre, selon les estimations d'AMLBot.
• Bitget prévoit des retraits par phases à partir du 28 septembre après avoir identifié et corrigé la vulnérabilité de sécurité sous-jacente.

AMLBot a déclaré le 27 septembre que son traçage reliait environ 4 BTC dans un tour de CoinJoin à des fonds provenant d'un portefeuille TRON lié à Bitget. La société a décrit l'activité comme une tentative apparente d'obscurcir le mouvement des actifs volés.

Cette découverte intervient après que Bitget a révisé la valeur des actifs transférés vers des adresses contrôlées par les attaquants à environ 387,5 millions de dollars. La mise à jour officielle de l'enquête de l'échange a indiqué que le nouveau total incluait des actifs Zcash et TRON qui manquaient dans son estimation initiale de 351,6 millions de dollars.

Mise à jour : Il semble que les fonds volés du piratage de @bitget aient commencé à être blanchis via Wasabi CoinJoin (mélangeur)

Notre traçage relie ~4 BTC dans un tour de CoinJoin à un portefeuille TRON de Bitget. Les fonds ont été échangés de TRX à USDT, transférés vers Ethereum via @USDT0_to, échangés pour ~145... https://t.co/8JBaoMM1xp pic.twitter.com/ncTVyeIT3S --- AMLBot (@AMLBotHQ) 26 septembre 2026

Les fonds de Bitget ont transité par quatre réseaux avant CoinJoin

AMLBot a retracé un itinéraire multi-étapes commençant sur TRON. Selon le compte de la société, l'attaquant a d'abord converti TRX en USDT. Les fonds ont ensuite été transférés vers Ethereum via USDT0, une version omnichain de Tether conçue pour les transferts entre réseaux pris en charge.

Une fois sur Ethereum, les actifs ont été échangés contre environ 145 ETH. AMLBot a déclaré que l'ETH a ensuite transité par THORChain et a été converti en environ 4,59 BTC.

Le Bitcoin a ensuite été divisé en montants plus petits avant d'atteindre un tour de CoinJoin de Wasabi. AMLBot a déclaré que son analyse pouvait relier environ 4 BTC dans cette transaction au portefeuille TRON de Bitget.

CoinJoin combine les entrées et sorties Bitcoin de plusieurs participants dans une seule transaction. Cette technique peut rendre le traçage des transactions plus difficile car les observateurs de la blockchain ne peuvent pas simplement mapper une entrée à une sortie correspondante.

AMLBot a caractérisé l'activité comme un blanchiment via Wasabi CoinJoin et a déclaré avoir mis sur liste noire les adresses liées. La société continue de surveiller le Bitcoin pour d'autres activités de CoinJoin.

L'attribution reste l'analyse blockchain d'AMLBot. Les enregistrements publics de la blockchain montrent les transferts entre adresses, les échanges et l'activité inter-chaînes, mais le but de chaque transaction est déduit du flux observé et de l'attribution des adresses.

Un résumé de Binance News publié le 27 septembre a répété la même séquence, citant des rapports basés sur le traçage d'AMLBot.

Bitget augmente la perte confirmée à 387,5 millions de dollars

Bitget a d'abord déclaré que l'incident du 24 septembre avait affecté environ 351,6 millions de dollars d'actifs après des transferts non autorisés de parties de son infrastructure de portefeuille chaud et tiède.

L'échange a détecté l'activité à 18h31 UTC et a suspendu les retraits tout en laissant les dépôts et le trading opérationnels. Les portefeuilles froids sont restés sécurisés, selon l'avis de sécurité initial de Bitget.

Au 25 septembre, la classification des transactions de Bitget avait porté le montant confirmé à environ 387,5 millions de dollars. L'échange a déclaré que l'augmentation ne résultait pas de nouveaux vols après la violation. Les enquêteurs avaient plutôt identifié des actifs Zcash et TRON supplémentaires impliqués dans l'incident original.

Les actifs affectés comprenaient ETH, XRP, USDT, USDC, USDT0, ZEC, XAUt, BNB, AVAX et TRX. Bitget a publié les adresses contrôlées par les attaquants sur les réseaux compatibles avec Ethereum, XRP Ledger, Zcash et TRON dans le cadre de ses travaux de récupération.

Les conclusions préliminaires de Bitget ont indiqué qu'il s'agissait d'un compromis impliquant l'infrastructure de portefeuille backend plutôt que d'une fuite de clés privées. Le PDG Gracy Chen a déclaré que les clés privées restaient sécurisées pendant que les enquêteurs travaillaient à identifier le chemin exact de l'intrusion.

Bitget a ensuite déclaré que son équipe de sécurité avait identifié le chemin de l'attaque et la méthode utilisée pour contourner les contrôles existants. La société a indiqué que la vulnérabilité sous-jacente avait été corrigée, bien qu'elle n'ait pas publié de rapport technique complet sur la cause racine détaillant l'exploitation.

AMLBot indique que la plupart des actifs volés restent dormants

L'activité CoinJoin ne représente qu'une petite partie des fonds liés à la violation.

Dans une mise à jour du 25 septembre, AMLBot a déclaré qu'environ 343 millions de dollars, représentant environ 88 % des 389 millions de dollars qu'elle suivait, n'avaient pas été déplacés. Le chiffre de la société était basé sur les adresses qu'elle avait attribuées à l'attaquant.

AMLBot a identifié 13 portefeuilles dormants contenant plusieurs types d'actifs. Huit portefeuilles Ethereum contenaient environ 68 300 ETH, tandis que quatre adresses XRP détenaient environ 83 millions de XRP. Un autre portefeuille contenait près de 18 900 ZEC.

La société a déclaré qu'aucune de ces 13 adresses n'avait envoyé de transaction depuis la réception des fonds. Sa mise à jour ultérieure sur Wasabi concerne une autre partie des actifs volés qui avaient déjà commencé à circuler entre les chaînes et les actifs.

D'autres chercheurs ont retracé une activité de conversion distincte. Crypto.news a rapporté le 25 septembre que la chercheuse en sécurité Taylor Monahan avait identifié des USDC volés en cours de transfert et convertis en ETH après l'attaque.

Ses découvertes ont montré que les actifs contrôlés par les attaquants étaient transférés et échangés après avoir quitté Bitget. Le rapport a noté que Circle peut geler des USDC à des adresses spécifiées lorsque les exigences légales sont remplies, bien que la trace publique des transactions n'ait pas établi si un ordre légal qualifié avait atteint Circle à ce moment-là.

Le suivi ultérieur d'AMLBot montre une autre partie du flux traversant de TRON à Ethereum puis vers Bitcoin via THORChain avant d'entrer dans CoinJoin.

Bitget prépare la réouverture des retraits par phases

Bitget se prépare à restaurer les services de retrait après avoir déclaré que la vulnérabilité responsable de l'incident avait été corrigée.

Le calendrier des retraits de l'échange commence par Bitcoin à 08h00 UTC le 28 septembre. Les retraits d'ETH sur Ethereum, BSC, Arbitrum, Base et Optimism sont prévus pour le 29 septembre.

Les retraits d'USDT sur Ethereum, BSC, Solana et TRON devraient reprendre le 30 septembre. D'autres retraits de jetons, services fiat et retraits entre pairs devraient revenir le 2 octobre.

Bitget a déclaré que Mandiant et SlowMist continuaient d'assister à l'enquête de sécurité pendant que ses équipes techniques effectuaient des travaux de validation sur l'infrastructure de retrait.

Comme l'a rapporté crypto.news sur le plan de réouverture, Bitget a déclaré que son Fonds de Protection couvrirait la perte financière résultant de l'incident et que les soldes des comptes clients restaient inchangés. L'échange a rapporté que le fonds détenait plus de 464 millions de dollars pendant la pause des retraits.

La mise à jour de septembre sur les preuves de réserves de Bitget, publiée avant la violation, montrait un ratio de réserve total de 135 % sur 19 actifs couverts. L'échange déclare qu'il maintient un ratio de réserve d'au moins 1:1 pour les actifs des utilisateurs couverts par le programme. Le PDG Gracy Chen doit animer un AMA en direct à 07h30 UTC le 28 septembre concernant l'incident, la restauration des retraits et les prochaines étapes de l'échange.