Дослідники блокчейну виявили додаткову підозрювану викрадену криптовалюту, що надходить у Zcash (ZEC), причому кошти, за повідомленнями, пов'язані з трьома окремими інцидентами безпеки за участю Bitget, Cryptobills Ledger та Triple-A.
Резюме
- Дослідник блокчейну Specter нещодавно пов'язав імовірно викрадені кошти з трьох інцидентів безпеки з транзакціями Zcash.
- ZachXBT відстежив приблизно 2700 ZEC у захищений пул Ironwood мережі Zcash після вересневого злому Bitget.
- Bitget підтвердив, що приблизно 387,5 мільйона доларів надійшли на адреси, контрольовані зловмисниками, під час розслідування інциденту безпеки 24 вересня.
- Specter виявив кошти Cryptobills Ledger та Triple-A, що надходять у Zcash, без публікації повних доказів на рівні транзакцій.
- Zcash активував Ironwood у липні 2026 року, створивши новий захищений пул після вразливості Orchard.
У дописі на X від 17 жовтня аналітик блокчейну Specter повідомив, що кошти, пов'язані з інцидентом Cryptobills Ledger та експлойтом Triple-A на 12 мільйонів доларів, надійшли в Zcash, слідом за попередніми висновками дослідника ZachXBT щодо активів, викрадених з Bitget.
Останні звинувачення стосуються переміщення викраденої криптовалюти в мережу, орієнтовану на конфіденційність, яка дозволяє користувачам приховувати певні деталі транзакцій. Однак Specter публічно не надав повного сліду транзакцій і не встановив, скільки грошей з двох додаткових інцидентів надійшло в ZEC.
Звіт з'явився після вересневого злому безпеки Bitget, який біржа оцінила приблизно в 387,5 мільйона доларів після перегляду транзакцій у кількох блокчейнах. Підтверджена сума збитків Bitget охоплює весь інцидент і не відображає суму, яка, за повідомленнями, була переміщена в Zcash.
Zcash приваблює кошти, пов'язані з трьома інцидентами безпеки криптовалют
Висновки Specter виявили активність за участю коштів, імовірно пов'язаних з Bitget, Cryptobills Ledger та Triple-A. Аналітик описав кількох підозрюваних зловмисників, які переказували криптовалюту в ZEC після того, як ZachXBT розкрив використання функцій конфіденційності Zcash у справі Bitget.
Допис від 17 жовтня визначив інцидент безпеки Cryptobills Ledger як одне з джерел підозрюваних переказів. Окремо в ньому згадувалися кошти з експлойту Triple-A, який, за повідомленнями, стосувався 12 мільйонів доларів викраденої криптовалюти.
Ані вартість переказів Cryptobills Ledger, ані сума, віднесена до Triple-A, не були встановлені в оприлюдненій інформації. Розслідування не розкрило, чи використовували підозрювані особи ті самі адреси гаманців або чи координували вони свої дії.
Згідно з повідомленням Specter, активність стосувалася кількох загрозливих суб'єктів. Дослідник не стверджував, що один зловмисник відповідальний за всі три інциденти.
Zcash підтримує транзакції, які можуть приховувати інформацію про відправників, одержувачів і переказані суми. Його технологія конфіденційності може перешкоджати стороннім спостерігачам бачити деталі транзакцій, щойно активи потрапляють у захищений пул.
Однак звинувачення дослідника не встановлюють, що кожен повідомлений переказ був успішно прихований або що кошти досягли кінцевого пункту призначення.
Дослідники можуть ідентифікувати певні депозити в захищені пули, але доступний публічний запис не обов'язково розкриває, куди кошти рухаються далі.
ZachXBT відстежує доходи від крадіжки Bitget в Ironwood
Розслідування ґрунтується на висновках, якими ZachXBT поділився 30 вересня щодо криптовалюти, викраденої з Bitget.
За словами дослідника, гаманці, імовірно пов'язані зі зловмисниками, переказали приблизно 2700 ZEC у захищений пул Ironwood мережі Zcash. Він оцінив перекази приблизно в 3,8 мільйона доларів на той час.
Його висновки з'явилися після крадіжки 24 вересня, що стосувалася інфраструктури гарячих гаманців Bitget. ZachXBT окремо ідентифікував приблизно 18 900 ZEC вартістю 28,3 мільйона доларів за повідомленою оцінкою серед активів, пов'язаних з інцидентом.
Дослідник надав посилання на транзакції, пов'язані з депозитами в захищений пул. Ці посилання підтверджують відстеження коштів до ідентифікованих депозитних транзакцій, але не встановлюють їхні пункти призначення після захисту.
Ironwood — це новіший захищений пул Zcash, запроваджений через оновлення мережі 28 липня 2026 року. Він використовує технологію, похідну від попередньої системи Orchard, зберігаючи окремий облік транзакцій і балансів.
Оновлення мережі Zcash Ironwood відбулося після виявлення вразливості в Orchard, яка могла дозволити фальшивим монетам циркулювати без виявлення.
Розробники запровадили запобіжні заходи, що обмежують перекази зі старішого пулу, та створили замінный пул з оновленим криптографічним захистом. Оновлення було розроблено, щоб зробити обігову пропозицію Zcash незалежно перевірюваною.
Ironwood не було запроваджено як механізм протидії відмиванню грошей. Його основна мета полягала в усуненні проблеми безпеки Orchard зі збереженням функціональності захищених транзакцій.
Функції конфіденційності протоколу залишаються доступними для добросовісних користувачів і можуть використовуватися зловмисниками. Твердження від 17 жовтня стосуються підозрюваного використання цих функцій зловмисниками, а не нової вразливості в протоколі Ironwood.
Bitget підтверджує крадіжку 387,5 мільйонів доларів під час вересневого злому
Інцидент безпеки Bitget від 24 вересня включав несанкціоновані перекази з частин інфраструктури гарячого та теплого гаманців.
Біржа спочатку оцінила постраждалі активи в 351,6 мільйона доларів. Її оновлення безпеки від 25 вересня підвищило цю цифру до приблизно 387,5 мільйонів доларів після додаткового відстеження блокчейну та класифікації транзакцій.
Bitget пояснила, що переглянута оцінка врахувала постраждалі активи на Zcash і TRON, які не були включені до початкового розрахунку. Різниця в 35,9 мільйона доларів стала результатом повнішого обліку інциденту, а не ще однієї підтвердженої хвилі крадіжок.
Біржа визначила постраждалі активи в мережах, сумісних з Ethereum, XRP Ledger, Zcash і TRON. Її список включав XRP, ETH, USDT, ZEC, USDC, BNB, AVAX та кілька інших токенів.
Незалежні розслідування SlowMist і компанії з кібербезпеки Mandiant, що належить Google, згодом вивчили атаку. Bitget повідомила, що обидва розслідування виявили скомпрометовані сторонні продукти безпеки, які дозволили несанкціонований доступ до середовища гаманців біржі.
Як раніше повідомляло crypto.news, Bitget відновила виведення Bitcoin 28 вересня після тимчасового призупинення послуг виведення під час розслідування злому.
Біржа заявила, що зловмисники не скомпрометували її холодні гаманці та не отримали приватні ключі. Вона наполягала, що баланси клієнтських рахунків залишилися незмінними, і зобов'язалася використати свій Фонд захисту користувачів для покриття фінансових збитків.
У повідомленні від 30 вересня Bitget повідомила про поповнення фонду захисту до понад 300 мільйонів доларів. Її вересневе оновлення доказів резервів окремо показало сукупний коефіцієнт резервів 131% за 19 охопленими активами.
Слідчі виявили попередні спроби приховати викрадені кошти
Повідомлені перекази Zcash не є першими спробами зловмисників, пов'язаних зі зломом Bitget, перемістити активи через сервіси, призначені для ускладнення відстеження транзакцій.
Після вересневої атаки аналітична компанія блокчейну AMLBot відстежила приблизно чотири BTC, пов'язані з інцидентом, що надходили до транзакції Wasabi CoinJoin.
Перекази CoinJoin хакера Bitget, як повідомляється, пройшли маршрутом через TRON, USDT0, Ethereum, THORChain і Bitcoin.
CoinJoin об'єднує входи та виходи транзакцій від кількох учасників, що ускладнює визначення того, який вихід належить окремому відправнику.
Окреме відстеження блокчейну виявило приблизно 2 390 ETH, конвертованих у 75,2 BTC через 27 транзакцій у THORChain, вартістю близько 6,3 мільйона доларів на той час.
Bitget просила THORChain обмежити адреси, пов'язані з крадіжкою. Оператори мережі наполягали, що їхні засоби екстреного контролю можуть призупинити активність мережі, але не можуть вибірково блокувати обмін окремого користувача.
Протягом днів після злому Bitget запровадила програму винагород за відновлення, що пропонує винагороди за відповідну допомогу в заморожуванні та відновленні викрадених активів.
Програма надає 5% успішно заморожених коштів кваліфікованим учасникам і окремі 5% для коштів, успішно відновлених через відповідні добровільні дії.
Bitget виключила дії, здійснені за судовими наказами або вказівками правоохоронних органів, з права на винагороду. Вона зберегла за собою остаточну відповідальність за визначення кваліфікованих внесків і розрахунок виплат.
Розслідування відновлення Bitget триває
Оскільки слідчі продовжують відстежувати викрадені активи, біржа надала ідентифіковані адреси зловмисників у розпорядження фірмам з безпеки, блокчейн-проєктам та іншим організаціям, залученим до відстеження.
Її оголошення від 25 вересня включало адреси в мережах, сумісних з Ethereum, XRP Ledger, Zcash і TRON, а також публічну систему звітності про відновлення.
Bitget заявила, що панель відстеження оновлюватиметься в міру того, як слідчі виявлятимуть додаткові гаманці або рухи, пов'язані з інцидентом. Біржа закликала кастодіанів, емітентів стейблкоїнів і торгові платформи повідомляти про відповідні виявлення.
Вересневий злом став найбільшим окремим інцидентом у місяці хакерських атак на криптовалюти на суму 768 мільйонів доларів, згідно з висновками від 1 жовтня від блокчейн-фірм з безпеки PeckShield і CertiK.
PeckShield зафіксувала 766,5 мільйона доларів у 55 великих вересневих інцидентах, тоді як CertiK оцінила 768,4 мільйона доларів у 97 інцидентах. Їхні підсумки використовували різні методи звітності та враховували валові постраждалі суми, включаючи активи, згодом відновлені.
Щодо нещодавно повідомлених переказів Zcash, Specter не розкрив повного обліку коштів, пов'язаних з Cryptobills Ledger або Triple-A. Для цих конкретних переказів не встановлено жодної підтвердженої суми відновлення чи кінцевого пункту призначення.
