THORChain отказался блокировать адреса хакеров Bitget; ZachXBT раскрыл 5 китайских групп, отмывающих 387,5 млн долларов

24 сентября хакеры атаковали централизованную биржу Bitget и вывели из её казны 387,5 млн долларов ≈ 1,17 млрд BYN. Оценку ущерба позже подняли с 351,6 млн долларов ≈ 1,06 млрд BYN: в подсчёт включили Zcash и TRON. По данным биржи, холодные кошельки не пострадали. Часть похищенных средств злоумышленник прогонял через Thorchain — сервис децентрализованной биржи (DEX). Генеральный директор Bitget Грейси Чен обратилась в X к официальному аккаунту Thorchain и потребовала закрыть кошельки атакующих.

Thorchain ответил, что сочувствует Bitget, но его протокол «децентрализованный и не требующий разрешений, как Bitcoin, Ethereum и BNB Chain». В том же аккаунте задали встречный вопрос: какую ответственность за такие ситуации несут сами Bitcoin, Ethereum и BNB Chain.

Позже разработчики протокола заявили прямо, что блокировать адреса, связанные с атакой на Bitget, не станут. По их формулировке, остановка сети защищает инфраструктуру целиком и не служит инструментом заморозки отдельных кошельков или конкретных обменов.

ZachXBT раскрыл пять групп, отмывающих украденное

Ончейн-исследователь ZachXBT опубликовал данные о пяти китайских группах, которые, по его версии, отмывают средства взлома Bitget на 387,5 млн долларов. Работают они почти в открытую: заявки на помощь размещают прямо в публичных Discord-серверах и Telegram-каналах сервисов, которыми пользуются. Сам взлом приписывают хакерам из КНДР, а китайские посредники, по версии ZachXBT, отмывают деньги в их интересах.

По данным ZachXBT, украденные активы не просто проходят через набор протоколов: в цепочке есть реальные посредники, которые занимаются обменом, межсетевым перемещением и сокрытием происхождения средств. Часть средств проходит через межсетевые мосты, после чего переводится в биткоин и направляется в инструменты повышения приватности, включая Wasabi — некастодиальный биткоин-кошелёк с поддержкой CoinJoin, где несколько участников объединяют входы и выходы в одной транзакции, из-за чего сложнее определить, какой вход соответствует какому выходу.

Один из посредников, обозначенный ZachXBT как Alias 4, по его данным, уже появлялся при отмывании активов после атаки на Kelp DAO. 18 апреля мост Kelp DAO вывели на 116 500 rsETH примерно на 292 млн долларов ≈ 884 млн BYN; проекты Mandiant и CrowdStrike с высокой долей вероятности связали атаку с КНДР и со средней — с группой UNC4899, также известной как TraderTraitor. Сам ZachXBT пишет, что видел схожую модель и после нескольких других эксплойтов и намерен опубликовать собранные данные в ближайшие недели.

Биржа восстанавливает вывод средств

Bitget опубликовала график поэтапного восстановления вывода средств. Первым открыли вывод биткоина — 28 сентября в 08:00 UTC, то есть в 11:00 по московскому времени. Дальше по графику: 29 сентября — ETH через Ethereum, BSC, Arbitrum, Base и Optimism, 30 сентября — USDT через Ethereum, BSC, Solana и TRON, 2 октября — остальные токены, фиат и P2P. Каждый этап запланирован на 11:00 по Киеву. Представитель биржи заявил, что уязвимость, использованная во время атаки, уже найдена и устранена, новых несанкционированных переводов после локализации атаки не обнаружили, балансы пользователей не пострадали; специалисты продолжают тестировать инфраструктуру вывода.

Почти одновременно с открытием вывода биткоина в блокчейне прошло перемещение более 2000 BTC, связанных с защитным фондом Bitget, на горячие кошельки биржи. Китайский ончейн-аналитик Ai 姨 (@ai_9684xtpa) насчитал 2042,28 BTC примерно на 169 млн долларов ≈ 512 млн BYN; на отслеживаемых адресах оставались ещё 3457,72 BTC. По августовскому отчёту компании, фонд состоял из 5500 BTC при ориентире стоимости не ниже 300 млн долларов ≈ 909 млн BYN. Bitget подчёркивает, что защитный фонд — дополнительный уровень защиты, а не замена резервам, которыми обеспечиваются клиентские балансы; в сентябрьском отчёте Proof of Reserves совокупный коэффициент резервирования заявлен на уровне 135%.

Чен говорит об IPO

Грейси Чен заявила, что Bitget планирует выйти на фондовый рынок примерно через три года. Сроки, площадку и параметры размещения биржа не раскрыла.

Кто встал на чью сторону

Руководитель отдела развития бизнеса и маркетинга Dashpay Джоэл Валенсуэла назвал просьбу Чен несправедливой. По его словам, никто не требует от биткоина или Ethereum отменять транзакции, хотя обе сети в прошлом уже откатывали цепочку, а Ethereum — ради устранения уязвимости.

Основатель и генеральный директор OKX Стар Сюй занял противоположную позицию. Он заявил, что модель TSS вместе с валидаторами Thorchain «не отражает истинную децентрализацию»: группа отобранных валидаторов коллективно контролирует базовые активы в хранилищах TSS, и как только набирается порог подписи, они могут двигать средства.

«Таким образом, с точки зрения хранения активов Thorchain несопоставим с консенсусом базового уровня Bitcoin или Ethereum — он фактически выступает в качестве посредника между пользователями и нативными цепочками», — написал Сюй.

В перепалке с Валенсуэлой основатель OKX напомнил про май: тогда хранилища самого Thorchain опустошили, операторы узлов за несколько минут остановили всю сеть и держали её выключенной 13 часов.

«Сеть, которая может остановиться, когда под угрозой находятся её собственные средства, но отказывается делать это, когда под угрозой находятся чужие средства, не является „подобной Биткойну“. Биткойн нельзя остановить. Thorchain — можно — она просто выбирает, когда это сделать», — сказал он.

Валенсуэла возразил: «Здесь нет центрального органа и нет механизма цензуры». Он добавил, что централизованная модель OKX не защищает пользователей, на что Сюй ответил: «Неверно».

Взлом Bybit на 1,2 млрд долларов вспомнили снова

Thorchain уже попадал в такую ситуацию. В феврале 2025 года после взлома Bybit именно эта DEX стала основным каналом, через который северокорейская группировка Lazarus перевела, по оценкам, 1,2 млрд долларов. Даже под давлением ФБР Thorchain не заблокировала связанные с этим свопы.

После атаки на Bitget основатель Bybit Бен Чжоу предложил Чен любую помощь. «Bitget помогла нам, когда мы подверглись взлому, — сказал он. — Мы обновляем сайт lazarusbounty.com, чтобы помочь Bitget отслеживать и прослеживать движение похищенных средств».

Аргумент Thorchain о том, что от по-настоящему децентрализованного протокола нельзя ждать цензуры транзакций, формально тот же, что и у майнеров биткоина. Но остановка собственной сети в мае, по мнению критиков, этот аргумент подрывает: вмешаться, когда речь о своих средствах, протокол сумел.