🔍 Хак Bitget: куда ушли деньги и кто помог их отмыть?

24 сентября хакеры вывели с кошельков Bitget $387,5 млн, и это стало одной из крупнейших краж в крипте за 2026 год. По первым прикидкам сумма составляла около $352 млн, но затем биржа досчитала переводы в Zcash и TRON.

Несмотря на огромную сумму, ключи от кошельков никто не украл: хакерам удалось обмануть систему вывода Bitget. Через уязвимость в стороннем продукте они добыли учетные данные с расширенными правами и отправили в систему кошельков поддельные заявки на вывод, а та в свою очередь подписала их как обычные.

Клиенты биржи от взлома не пострадали, поскольку холодные кошельки остались целы, а потери Bitget закрыла из фонда защиты пользователей, в котором лежало более $460 млн. Bitget, TRM Labs и Elliptic связывают атаку с северокорейской Lazarus, хотя официально КНДР пока никто не обвинил.

💻 Украденное хакеры сразу разбросали по новым адресам в восьми сетях и первым делом избавились от активов, которые можно заморозить. Около $100 млн, в основном в стейблкоинах, они обменяли на ETH, пока Circle и Tether не успели их заблокировать. С XRP на $157 млн можно было не спешить, потому что его нельзя заморозить, но к 27 сентября все пять кошельков с XRP опустели, а главным мостом в BTC стал THORChain.

Через THORChain можно обменять XRP или ETH на BTC без KYC и создания аккаунта, поэтому 26 сентября CEO Bitget Грейси Чен публично попросила протокол не обрабатывать сделки с адресов хакеров.

THORChain отказал: по его словам, он такой же permissionless, как Bitcoin и Ethereum, и может аварийно остановить только всю сеть, а не отдельный обмен. Но это очень спорный момент. В мае, после собственного взлома на $10,7 млн, THORChain остановил всю сеть. К тому же хранилищами протокола управляют валидаторы через общую подпись, и сравнивать их с майнерами биткоина некорректно. Уже 28 сентября хакер обменял через протокол еще 2390 ETH на 75,2 BTC.

🤑 THORChain невыгодно отказывать хакерам: за два дня после взлома протокол провел $678 млн объема и заработал почти $1,2 млн, которые получают ноды и LP.

NEAR Intents устроен иначе, и команде удалось спасти небольшую часть средств. При взаимодействии с продуктом пользователь описывает, что хочет отдать и получить, после система сверяет заявку с списками AML и биржами, и только потом ее исполняют солверы. Хакеры попытались провести через NEAR Intents больше $50 млн, но почти все заявки были отклонены еще до начала обмена.

До исполнения дошло около $669 тыс.: $503 тыс. система заморозила прямо в процессе, а перевести удалось лишь $166 тыс. Замороженное вернут Bitget, а от вознаграждения NEAR отказался. Правда, $50 млн протокол не изъял, а лишь не стал обрабатывать, и эти деньги хакеры увели через другие площадки.

Приватность в этой истории хакерам обеспечила не анонимность, а то, что вмешаться никто не смог. Каждый обмен через THORChain виден ончейн, и аналитикам почти сразу удается восстановить цепочку переводов, но заморозить биткоин некому.

К настоящим инструментам анонимности хакеры прибегали редко: AMLBot нашел около 4 BTC, которые прошли путь TRX → USDT → USDT0 в Ethereum → THORChain → CoinJoin в Wasabi, и даже после смешивания связал их с Bitget.

😆 Самую большую дыру в приватности пробили сами отмывщики. ZachXBT опубликовал аккаунты пяти китайских посредников, которые работают на хакеров и в открытых чатах Discord и Telegram жаловались поддержке сервисов вокруг THORChain на зависшие обмены XRP в BTC.

THORChain уже третий раз с февраля 2025 года становится главным каналом для отмыва денег, кражу которых приписывают КНДР: после хака Bybit через него прошло $0,9 млрд, а в апреле туда же утекли деньги Kelp DAO.

Теперь посмотрим, сколько из $387,5 млн успеет доехать до биткоина, прежде чем рынок решит, должен ли permissionless-протокол отказывать заведомо украденным деньгам.

Подписывайтесь на канал, ставьте лайк, заходите в чат👇

🧑‍🚀 Канал | Чат | Обменник