Análisis del Robo de Bitget
Los protocolos y servicios utilizados para mover los fondos robados de Bitget han recaudado un total de $761,725 en comisiones durante el proceso de lavado. Un investigador independiente ha rastreado $259,718 en comisiones de afiliados de THORChain, las cuales están vinculadas a destinatarios con conexiones financieras adicionales a las billeteras involucradas en los intercambios.
Según la investigación compartida con crypto.news por el investigador Andrey Sergeenkov, el análisis abarcó transacciones hasta el 2 de octubre a las 10:22 UTC y examinó tanto los servicios utilizados para intercambiar los activos robados como las direcciones designadas como destinatarios de comisiones en las instrucciones de intercambio de THORChain.
Estos hallazgos se producen tras el robo del 24 de septiembre de las billeteras calientes y tibias de Bitget, que el intercambio valoró posteriormente en aproximadamente $387.5 millones. Sergeenkov calculó que los proveedores de liquidez de THORChain recibieron $573,226 de intercambios que involucraban los fondos robados. MetaMask recaudó otros $149,417, mientras que Chainflip y CoW EthFlow recibieron $26,751 y $12,332, respectivamente, según los datos de transacciones presentados en su investigación.
Comisiones de Afiliados y Vínculos Financieros
El análisis no solo se limitó a identificar los protocolos que procesaron los activos, sino que también examinó las comisiones de afiliados de THORChain por separado, rastreando cómo algunas de las direcciones receptoras interactuaron con billeteras involucradas en el movimiento de los fondos robados. Los intercambios de THORChain pueden incluir una comisión de afiliado que se dirige a un destinatario separado especificado en la instrucción de intercambio.
Sergeenkov encontró que $259,718 en comisiones de afiliados fueron a siete direcciones donde la actividad de transacción posterior proporcionó lo que él describió como vínculos financieros adicionales a billeteras involucradas en los intercambios de fondos robados. Su análisis no afirma que ser nombrado como destinatario de afiliados pruebe que una dirección pertenece al atacante.
Una interfaz o script puede insertar una dirección de destinatario antes de que el remitente firme una transacción, incluso cuando un servicio cobra una comisión de referencia. Sergeenkov aclaró que el campo de destinatario por sí solo no puede establecer quién controla una dirección. En cambio, separó a los destinatarios donde el historial de transacciones proporcionó otra conexión.
La dirección más grande en esta categoría, thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4, recibió $177,499 en comisiones. Sergeenkov la vinculó a la actividad de lavado a través de destinatarios compartidos de los fondos principales. Otra dirección recibió $56,514 y tuvo el mismo tipo de conexión. Una tercera recolectó $18,080, y Sergeenkov encontró que algunos de los ingresos por comisiones fueron devueltos a una billetera que había presentado uno de los intercambios.
Movimientos de Fondos y Conclusiones
Sergeenkov rastreó parte de los $177,499 recibidos por la dirección de afiliado vinculada más grande más allá de THORChain. Parte de sus ingresos por comisiones de RUNE se intercambiaron por USDT y luego pasaron a través de dos billeteras de Ethereum. Los fondos finalmente llegaron a una dirección etiquetada como «OKX Hot Wallet 5» por Etherscan, según la investigación.
Sergeenkov indicó que OKX podría utilizar sus registros internos de depósitos para determinar si las transferencias correspondían a una cuenta de cliente e identificar a su titular. Su análisis no establece quién es el propietario de la cuenta o si el cliente del intercambio estuvo involucrado en el robo de Bitget.
La pista de comisiones añade otra capa al movimiento de activos tras la violación de Bitget. Como informó anteriormente crypto.news, aproximadamente $269 millones pasaron a través de THORChain en 7,804 transacciones, según la instantánea del 29 de septiembre de BlockSec, aunque esta cifra representaba el valor de paso y podría incluir los mismos fondos moviéndose a través del protocolo más de una vez.
Sergeenkov identificó un grupo separado de destinatarios de afiliados de THORChain que recolectaron $206,196 de intercambios que involucraban los fondos robados, pero para los cuales no había establecido vínculos financieros adicionales con las billeteras de los hackers a través del historial de transacciones revisado. Esta distinción es central para su análisis.
Las direcciones en este segundo grupo aparecieron en instrucciones de intercambio firmadas como destinatarios de comisiones, pero Sergeenkov no encontró los movimientos de fondos adicionales utilizados para colocar al primer grupo en la categoría vinculada. El destinatario más grande en el grupo no vinculado estaba asociado con el nombre registrado de THORChain naswap y recibió $102,344.
Sus hallazgos llegaron después de que Bitget y THORChain discreparan públicamente sobre si el protocolo debería intervenir en transacciones que involucraran direcciones de atacantes identificadas. Bitget había solicitado a THORChain que se negara a prestar servicio a direcciones vinculadas a la violación, mientras que THORChain afirmó que sus mecanismos de detención de emergencia estaban diseñados para proteger las operaciones de la red y no proporcionaban una congelación selectiva para transacciones individuales.
Otros servicios adoptaron un enfoque diferente. NEAR Intents informó que su sistema SHIELD bloqueó más de $50 millones en transferencias intentadas vinculadas a las billeteras de Bitget y congeló aproximadamente $503,000 durante la ejecución. Aproximadamente $166,000 pasaron antes de que los flujos sospechosos fueran detenidos, según el gerente general de NEAR Intents, Alex Shevchenko.
La investigación de Sergeenkov se refiere a las comisiones generadas mientras se movían e intercambiaban los activos robados, no a la cantidad recuperada o congelada. Su total de $761,725 consiste en comisiones ganadas por protocolos y servicios de los intercambios revisados, mientras que las cifras de $259,718 y $206,196 identifican dos grupos de destinatarios de afiliados de THORChain según si su revisión de transacciones encontró vínculos financieros adicionales con billeteras involucradas en el movimiento de los fondos robados.
