Хакер, похитивший $387,5 млн со скота криптобиржи Bitget, начал скрывать украденное в приватном пуле блокчейна Zcash. По данным аналитика ZachXBT, злоумышленник перевёл около 2700 ZEC (примерно $3,8 млн) в пул Ironwood — защищённую часть сети Zcash, где зашифрованы отправитель, получатель и сумма. Внешние наблюдатели видят только движение монет в пул и из него, но не то, что происходит внутри.
Кража началась 24 сентября, когда система Bitget обнаружила несанкционированные переводы из горячих кошельков. Генеральный директор Gracy Chen заявила, что злоумышленники проникли в бэкенд-системы биржи и подделали данные транзакций, не получив доступ к приватным ключам. Компания гарантировала, что защитный фонд покроет убытки, поэтому балансы клиентов не пострадали.
Как деньги прячут по цепочке
Злоумышленник разделил украденные средства между новыми кошельками с круглыми суммами — примерно по 10 000 ETH или 20 млн XRP в каждом. Меньшие объёмы отправили через сервисы кросс-чейн свопов: Thorchain, Across, Bridgers, Chainflip и FixedFloat. Эти инструменты обменивают монеты между разными блокчейнами и затрудняют отслеживание средств.
Однако не всем сервисам удалась легко пройти проверку. Платформа Near Intents заблокировала более $50 млн в своп-сделках с использованием системы скрининга SHIELD. Ещё $503 000 зависла посередине транзакции, примерно $166 000 прошла сквозь фильтр. По словам генерального менеджера Alex Shevchenko, заблокированные средства пройдут через судебное разбирательство и процедуру восстановления.
Позиции бирж разделились
Решение Near вызвало традиционный для крипто-среды спор о смысле слова «без лицензирования» — принципе, при котором в сети может участвовать кто угодно без разрешения. Сооснователь Near Illia Polosukhin подчеркнул, что это не обязывает каждое приложение обрабатывать все транзакции без исключений.
Thorchain выбрал другой путь. После публичной просьбы Chen блокировать адреса хакера, разработчики Thorchain ответили, что остановка сети — инструмент экстренной защиты протокола, а не способ заморозить конкретные средства. Решение о халте принимают независимые операторы узлов через голосование, а не компания.
На примере майского взлома 2026 года сеть Thorchain остановилась на пять недель после кражи $10,7 млн, но даже во время простоя хакер продолжал переводить средства через другие маршруты.
В понедельник несколько партий объёмом примерно 2390 ETH (около $6,3 млн) были обменены на 75,2 BTC через Thorchain. Bitget предложила награду в размере 5% от любых заблокированных и 5% от восстановленных средств, кроме сумм, затронутых судебными приказами или действиями правоохранительных органов.
CEO Bitget и аналитическая фирма Elliptic указывают на связь со стороны Северной Кореи, хотя ни один из государственных органов это не подтвердил. Elliptic причисляет взлом к крупнейшей предполагаемой северокорейской краже 2026 года, подняв годовой итог выше $1 млрд.