Bitgetからの資金移動とマネーロンダリングの手法
Bitgetから盗まれた資金を移動するために使用されたプロトコルとサービスは、マネーロンダリングプロセス中に761,725ドルの手数料を集めました。独立した研究者であるAndrey Sergeenkovは、THORChainのアフィリエイト手数料のうち259,718ドルが、スワップに関与するウォレットとの追加の金融リンクを持つ受取人に送られたことを追跡しました。
彼の研究は、10月2日10:22 UTCまでの取引をカバーし、盗まれた資産を交換するために使用されたサービスと、THORChainスワップ指示における手数料受取人として名指しされたアドレスを調査しました。
この発見は、9月24日にBitgetのホットおよびウォームウォレットから盗まれた事件に続くもので、取引所はその後、約3億8750万ドルと評価しました。Sergeenkovは、THORChainの流動性プロバイダーが盗まれた資金を含むスワップから573,226ドルを受け取ったと計算しました。
手数料の詳細と受取人の分析
MetaMaskはさらに149,417ドルを集め、Chainflipは26,751ドル、CoW EthFlowは12,332ドルを受け取ったと、彼の研究で提示された取引データによると報告されています。分析は、資産を処理したプロトコルを特定することを超えています。
SergeenkovはTHORChainのアフィリエイト手数料を別々に調査し、いくつかの受取人アドレスが盗まれた資金の移動に関与するウォレットとどのように相互作用しているかを追跡しました。THORChainのスワップには、スワップ指示で指定された別の受取人にルーティングされるアフィリエイト手数料が含まれる場合があります。
Sergeenkovは、259,718ドルのアフィリエイト手数料が、盗まれた資金のスワップに関与するウォレットとの追加の金融リンクを提供する後続の取引活動があった7つのアドレスに送られたことを発見しました。
彼の分析は、アフィリエイト受取人として名指しされることがアドレスが攻撃者に属することを証明するものではないと主張しています。インターフェースやスクリプトは、送信者が取引に署名する前に受取人アドレスを挿入することができ、サービスが紹介手数料を集める場合も含まれます。
資金の移動と取引履歴の重要性
したがって、受取人フィールドだけでは、誰がアドレスを制御しているかを確立することはできません。代わりに、彼は取引履歴が別の接続を提供する受取人を分けました。このカテゴリで最も大きなアドレス、thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4は、177,499ドルの手数料を受け取りました。
Sergeenkovは、主要資金の共有受取人を通じてマネーロンダリング活動に関連付けました。別のアドレスは56,514ドルを受け取り、同様の接続を持っていました。3番目のアドレスは18,080ドルを集め、Sergeenkovは一部の手数料収入がスワップの1つを提出したウォレットに戻されたことを発見しました。
他の関連受取人は4,544ドル、2,885ドル、196ドルを集めました。あるアドレスは1ドル未満を受け取り、その後分析で検討された別の手数料受取人に資金を移動しました。
いくつかのケースでは、異なるアフィリエイト受取人を名指しした異なるスワップが、同じビットコインの宛先ウォレットに主要な盗まれた資金を送信しました。他の取引では、手数料収入がスワップ送信者やレビューされた手数料受取人間で移動していることが示されました。
最終的な資金の行方と取引所の対応
Sergeenkovは、最大の関連アフィリエイトアドレスがTHORChainを超えて177,499ドルを受け取った一部を追跡しました。そのRUNE手数料収入の一部はUSDTに交換され、その後2つのEthereumウォレットを通過しました。資金は最終的にEtherscanによって「OKX Hot Wallet 5」とラベル付けされたアドレスに到達しました。
Sergeenkovは、OKXが内部の入金記録を使用して、転送が顧客アカウントに対応しているかどうかを判断し、その保有者を特定できる可能性があると述べました。
彼の分析は、アカウントの所有者が誰であるか、または取引所の顧客がBitgetの盗難に関与していたかどうかを確立するものではありません。手数料のトレイルは、Bitgetの侵害後の資産の移動に別の層を追加します。
crypto.newsが以前報告したように、約2億6900万ドルがBlockSecの9月29日のスナップショットによると、7,804件の取引を通じてTHORChainを通過しましたが、この数字は通過価値を表しており、同じ資金がプロトコルを通じて複数回移動する可能性があります。
Bitgetに関連するウォレットは、その後27件のTHORChainスワップを完了し、約2,390 ETHを当時約630万ドル相当の75.2 BTCに変換しました。
Sergeenkovは、盗まれた資金を含むスワップから206,196ドルを集めた別のTHORChainアフィリエイト受取人のグループを特定しましたが、彼は取引履歴を通じてハッカーのウォレットとの追加の金融リンクを確立していませんでした。この区別は彼の分析にとって重要です。
この2番目のグループのアドレスは、手数料受取人として署名されたスワップ指示に現れましたが、Sergeenkovは最初のグループを関連付けられたカテゴリに置くために使用された追加の資金移動を見つけませんでした。
リンクされていないグループの最大の受取人は、登録されたTHORChain名naswapに関連付けられ、102,344ドルを受け取りました。
複数の名前の下で手数料が記載されたTHORChainホールディングアカウントは92,438ドルを占めました。名前tchに関連する別のアドレスは7,245ドルを受け取り、nsを使用するアドレスは2,994ドルを集めました。さらに1,176ドルを受け取った受取人もいました。
Sergeenkovは、ホールディングアカウントからの最終的な支払いは彼の分析で追跡されていないと述べました。彼の発見は、BitgetとTHORChainが、プロトコルが特定された攻撃者アドレスに関与する取引に介入すべきかどうかについて公に意見が対立した後に到着しました。
BitgetはTHORChainに、侵害に関連するアドレスへのサービスを拒否するよう求めましたが、THORChainはその緊急停止メカニズムがネットワークの運用を保護するために設計されており、個々の取引に対する選択的な凍結を提供しないと述べました。
他のサービスは異なるアプローチを取りました。NEAR Intentsは、そのSHIELDシステムがBitgetウォレットに関連する5000万ドル以上の試みられた転送をブロックし、実行中に約503,000ドルを凍結したと述べました。NEAR IntentsのゼネラルマネージャーであるAlex Shevchenkoによると、約166,000ドルが疑わしいフローが停止される前に通過しました。
結論
Sergeenkovの研究は、盗まれた資産が移動および交換される際に生成された手数料に関するものであり、回収または凍結された金額には関係ありません。彼の761,725ドルの合計は、レビューされたスワップからプロトコルとサービスが得た手数料から成り立っており、259,718ドルと206,196ドルの数字は、彼の取引レビューが盗まれた資金の移動に関与するウォレットとの追加の金融リンクを見つけたかどうかに基づいて、THORChainアフィリエイト受取人の2つのグループを特定しています。
