مهاجم Bitget يستبدل 6.3 مليون دولار من ETH ببيتكوين (BTC) عبر THORChain

أموال مسروقة موزعة على مسارين

بدأت محفظة مرتبطة بهجوم 24 سبتمبر على منصة Bitget في تحويل الأموال المسروقة إلى بيتكوين (BTC)، والأثر حتى الآن باقٍ على الدفاتر العامة. تُظهر بيانات السلسلة (on-chain) استبدال ما يقدر بنحو 6.3 مليون دولار من إيثريوم (ETH) بالبيتكوين عبر THORChain، وهو بروتوكول يعمل كجسر بين السلاسل يُسوّى من خلاله تبادل الأصول بين شبكات منفصلة. وعلى خلاف المسار الثاني الذي فتحه المهاجم، يترك هذا المسار سجلاً عاماً كاملاً: فالإيثريوم الداخل إلى عقود التبادل والبيتكوين الخارج منها كلاهما قابل للملاحظة على السلسلة. ولم يُبلَّغ عن أي حركة لاحقة للبيتكوين المُستبدل، وهو ما يترك عرض بيع كامن على معروض البيتكوين، وبالتالي على صورة سعر البيتكوين بصورة عامة. أما القناة الثانية، وهي الأصعب في التتبع، فقد فُتحت يوم الأربعاء. فبين الساعتين 08:15 و08:46 بالتوقيت العالمي المنسق يوم 30 سبتمبر، انتقلت 2,746 وحدة من ZEC بقيمة تُقدَّر بـ3.9 مليون دولار آنذاك، على ثلاث دفعات منفصلة، إلى Ironwood، وهو أحدث تجمع محجوب في Zcash، شبكة تعمل بإثبات العمل وتدعم المعاملات الشفافة والمحجوبة معاً. يمثل هذا المبلغ نحو 15% من أصل 18,917 وحدة ZEC يُقدَّر أن محفظة المهاجم استلمتها في الاختراق. وكان الباحث على السلسلة ZachXBT أول من رصد حركة ZEC، إذ أفاد بأن الأموال مرّت عبر عنوانين وسيطين استλείدا عملة ZEC من محافظ حددتها Bitget بأنها تحت سيطرة المهاجم. وقد قدّرت Bitget خسائرها من الاختراق بنحو 387.5 مليون دولار، وتقول إنها تسعى لاسترداد الأموال المسروقة، غير أنها لم تكشف كم استُرد من هذا الإجمالي حتى الآن. ويوحي النمط الملاحظ منذ يوم الخميس باستراتيجية منقسمة: جزء من الغنيمة يُوجَّه عبر تبادلات عامة بين السلاسل، وجزء آخر يُدفع إلى أدوات خصوصية صُممت لقطع الأثر.

داخل تجمع Ironwood المحجوب

يعمل تجمع Ironwood في Zcash، من حيث الجوهر، كبنية تحتية للمدفوعات الخاصة على السلسلة: فبمجرد دخول ZEC إليه، يختفي المُرسل والمُستلم ومبلغ المعاملة جميعاً عن النظر العام. وتبقى بإمكان المحققين قياس كمية ZEC التي تعبر من عنوان شفاف إلى التجمع، وقياس ما يخرج إذا عادت الأموال لاحقاً إلى عناوين عامة، عبر مقارنة أوقات الدخول والخروج والمبالغ وبيانات وصفية أخرى. ما لا تكشفه Zcash هو مسار المعاملة الذي يربط إيداعاً محدداً بسحب محدد. وهذه الفجوة هي سبب عجز تتبع الـ2,746 وحدة من ZEC التي دخلت Ironwood صباح الأربعاء بالطريقة التي يُتتبع بها تحويل عادي على سلسلة شفافة: فالعملات مؤكدة داخل التجمع، لكن خطوتها التالية، متى جاءت، ستظهر بوصفها مبلغ خروج مجهول الهوية فقط. وتبقى البيانات الوصفية للتوقيت الرافعة الجنائية الرئيسية: فإذا خرجت الـZEC في النهاية بدفعات تحاكي دفعات الإيداع، عادت المبالغ علنية مجدداً ولو دون مسار رابط. أما مسار THORChain المستخدم سابقاً فقد ترك الأثر المعاكس. فتبادل الـ6.3 مليون دولار المقدرة الذي نفد رصيد محفظة المهاجم على شبكة إيثريوم إلى BTC سجّل الساقين معاً على دفاتر عامة، وهذا تحديداً ما مكّن المحققين من إعادة بناء التدفق أصلاً. وبهذين المسارين يتحدد الآن مشكلة التتبع: الأموال داخل Ironwood مظلمة، والأموال المتحركة عبر THORChain مرئية لكنها مبعثرة في بيتكوين، فيما لم يُبلَّغ عن أي حركة لنحو 16,200 وحدة ZEC، وهي رصيد الـZEC المسروقة المتبقي. وما إذا كانت كتل ZEC بحجم الحيتان ستعاود السطح من التجمع المحجوب هو التفصيل الذي ستتوقف عليه جهود الاسترداد. وللمهتمين بقياس مخاطر المنصات بعد اختراق بهذا الحجم، يعرض دليلنا لأفضل منصات تداول الكريبتو فحوصات الحفظ وإثبات الاحتياطيات الجديرة بالتنفيذ.

ما لم يُحتسب بعد

القراءة التي يستخلصها COINOTAG من السجل على السلسلة هي بنية غسل أموال قائمة على رؤية غير متكافئة: مسار ي trade الشفافية مقابل السرعة، وآخر يضحّي بقابلية التتبع مقابل الصمت. وكلا الرقمين تقديرات أولية وليست إجماليات مدققة. فحتى يوم الأربعاء، تؤكد 2,746 وحدة ZEC، أي نحو 15% من الـZEC المسروقة، وجودها داخل Ironwood، فيما لم تُسجَّل حركة لنحو 16,200 وحدة ZEC، ولم يُكشف وجهة أي من البيتكوين الناتج عن تبادلات THORChain والبالغ نحو 6.3 مليون دولار. وإلى أن يُخلى التجمع المحجوب أو تظهر الـBTC مجدداً على دفتر شفاف، يبقى الحصة القابلة للاسترداد من خسارة Bitget المقدرة بـ387.5 مليون دولار سؤالاً مفتوحاً.