Bitget Saldırganı 41 Dakikada 75,48 Milyon Doları Avalanche (AVAX) ve ETH'ye Çevirdi

Saldırı toplam 2 saat 52 dakika sürdü ve bu sürede borsanın elinden kaçan her varlık, dakikalar içinde başka zincirlere aktarıldı. Cuma günü, 25 Eylül'de Pekin saatiyle 02:31'de Bitget'ten iki küçük test çekimi çıktı: Ethereum (ETH) sıcak cüzdanından 0,84 ETH, TRON cüzdanından 93 TRX. Her iki tutar da alarmın tetikleneceği eşiklerin altındaydı; borsanın uzlaştırma sistemi ilk büyük uyumsuzluğu ancak 02:58'de başlayan toplu çıkışlardan sonra, 03:05'te fark etti ve risk kontrolü platform genelinde kullanıcı çekimlerini bloke etti. Ne var ki transferler durmadı, çünkü saldırgan sahte çekim komutlarını doğrudan cüzdan sistemine yazmıştı. Son transfer 05:23'te gitti; borsanın takım paneline geçen 26. başarılı çıkış buydu ve 05:44'te Bitget imzalama makinelerini kapattı. Borsanın olay sonrası açıklamasına göre kök neden, üçüncü taraf bir güvenlik ürünündeki sıfır gün açığıydı: saldırgan bu açıkla yüksek yetkili iç ağ kimlik bilgilerini çaldı, sahte komutları enjekte etti, risk kontrol kontrollerini aştı ve her transferin ardından kayıtları sildi. Bitget, özel anahtarların hiçbir zaman ele geçirilmediğini, sıcak cüzdanların arkasındaki HD cüzdan altyapısından ayrı tutulan soğuk cüzdanların ise zarar görmediğini söyledi. İlk hesaplamalarda kayıp yaklaşık 351,6 milyon dolar olarak bildirildi; Zcash ve TRON dahil edildikten sonra tutar yaklaşık 387,5 milyon dolara revize edildi. Kayıp 12 zincirdeki 13 varlığa yayıldı ve en büyük tek zincir kaybı XRP'de yaşandı. Kullanıcı bakiyeleri zarar görmedi; koruma fonu tarafından karşılandı. Sıralamayı belirleyen şey Avalanche (AVAX) fiyatı ya da Ether fiyatı değil, hız oldu: USDT, USDC ve USDT0'dan oluşan yaklaşık 75,48 milyon dolar ile 3.000 XAUt altın tokeni, her çalınışından sonraki 41 dakika içinde UniswapX, Uniswap, 1inch ve MetaMask'in yerleşik takas aracılığıyla Ethereum (ETH) veya AVAX'a çevrildi. Bu işlemlerin tamamı, Bitget CEO'su Gracy Chen'in 05:30'da ilk kez kamuya açıklama yapmasından önce tamamlanmıştı.

29 Eylül'e kadar yürütülen zincir üstü takip, fonların üç adımda hareket ettiğini gösteriyor: önce dondurulabilir varlıklar yerel tokenlere takas ediliyor, sonra her şey Bitcoin (BTC) yönüne aktarılıyor, ardından BTC CoinJoin karıştırmasına besleniyor. Pekin saatiyle 29 Eylül Salı 20:30 itibarıyla veri sunan borsanın takim paneli, halen yolda olan zincirler arası hacmin yaklaşık yüzde 90'ının Ethereum kaynaklı olduğunu gösteriyor; o an itibarıyla bu akış neredeyse beş gündür sürüyordu. Karışımdaki en büyük köprü protokolü olan THORChain, 7.804 işlem boyunca net yaklaşık 269 milyon dolar aldı; hizmet, varlık takaslarını saklayıcı olmaksızın zincirler arasında çözüyor ve bu yaklaşım atomik takas modeline dayanıyor. Chainflip yaklaşık 37,27 milyon dolarla ikinci sırada. Bunlar geçiş rakamları ve toplanamaz: aynı fon grubu birkaç servisten art arda geçebilir. Kümülatif CoinJoin hacmi yaklaşık 3,94 milyon dolardaydı; saldırganın Bitcoin pozisyonu yanında küçük bir miktar. 27 Eylül Pazar 19:03'te kayda geçen bir CoinJoin işlemi 356 girdi ve 401 çıktı taşıyordu; dört girdinin 2,5'ar BTC'si saldırgan adreslerine kadar izlendi, çıktı listesinde ise zincir üstü analizin hiçbir tekil sahibine atfedemediği 0,02097152 BTC'lik 21 özdeş kayıt vardı. İhlalin beşinci gününde saldırgan hâlâ çalınan toplamın yüzde 88,3'üne karşılık gelen yaklaşık 342 milyon doları kontrol ediyordu: kabaca yüzde 83,7'si BTC'de, yaklaşık 3.386 coin; yüzde 8,5'i ZEC'de; yüzde 7,3'ü ETH'de, yaklaşık 9.357 coin; ve yüzde 0,2'si stablecoin'larda. Görünürdeki dondurmalar ise yalnızca yaklaşık 840 bin dolar, ele geçen toplamın yüzde 0,2'si kadardı. Tether ve Circle, köprü ara adımlarında bekleyen ağırlıklı stablecoin'lerden yaklaşık 340 bin doları dondurdu. NEAR Intents ise 28 Eylül Pazartesi, saldırgan servisten 50 milyon dolardan fazla para geçmeye çalıştığında SHIELD taramasının işlem ortasında yaklaşık 503 bin doları durdurduğunu açıkladı. Gracy Chen 26 Eylül Cumartesi THORChain'den saldırganın adreslerini reddetmesini açıkça istedi; protokol sansür yapmadığı yanıtı verdi ve 29 Eylül itibarıyla çalınan fonlar hâlâ bu kanaldan ETH'den BTC'ye akıyordu.

342 Milyon Dolar Hâlâ Saldırganın Elinde

Zincir üstü okumasında geri dönmeyi bırakmadığımız sayı, 41 dakikalık takas penceresi. Dondurulabilir stablecoin'ler Ethereum (ETH) ve AVAX'a dönüştüğü anda ihraççı dondurmaları artık yalnızca geride kalanları yakalayabiliyordu; 387,5 milyon dolara karşı nihayetinde dondurulan yaklaşık 840 bin dolar, bu marjın ta kendisini ölçüyor. Bitget'in olay sonrası açıklaması kök nedeni, yüksek yetkili kimlik bilgilerini çalmak ve sahte çekim komutları yazmak için kullanılan üçüncü taraf güvenlik ürünündeki sıfır gün açığına bağlıyor; 05:44'te imzalama makinelerinin kapatılması ise yapılan müdahale olarak kayıtlara geçti. 29 Eylül itibarıyla yaklaşık 342 milyon dolar hâlâ saldırgan kontrollü adreslerde duruyor. Çalınan fonları taşıyan aynı Avalanche ağı, kurumsal pilotları da çözüyor: NYSE'nin bir yıl süren teknoloji denemesinden Goldman Sachs'ın tokenleştirilmiş tahvil fonuna kadar. Bizim En İyi Kripto Borsaları kontrol listemizde belirleyici değişken de bu yüzden zincir seçimi değil, saklama disiplini.