Bitget黑客洗钱产生761,725美元费用，研究人员发现

从Bitget盗取的资金在洗钱过程中使用的协议和服务收取了761,725美元的费用，而一位独立研究人员追踪到与参与交换的钱包有额外金融联系的收款人收到了259,718美元的THORChain附属费用。

摘要

• 根据独立研究人员Andrey Sergeenkov的说法，协议和服务从用于移动387.5百万美元Bitget黑客盗取资金的交易中收取了761,725美元的费用。
• THORChain流动性提供者收到了573,226美元，而MetaMask收取了149,417美元，Chainflip收到了26,751美元，CoW EthFlow收到了12,332美元。
• Sergeenkov追踪到259,718美元的THORChain附属费用流向七个地址，这些地址与参与移动被盗资金的钱包有额外的金融联系。
• 最大的附属地址收到了177,499美元，其中部分费用收入后来转换为USDT，并最终转移到一个标记为OKX热钱包的地址。
• 另外206,196美元的附属费用流向了Sergeenkov未能建立与参与被盗资金移动的钱包有额外金融联系的收款人。

根据独立研究人员Andrey Sergeenkov与crypto.news分享的研究，分析涵盖了截至10月2日10:22 UTC的交易，并检查了用于交换被盗资产的服务以及在THORChain交换指令中被指定为费用收款人的地址。这些发现是继9月24日Bitget的热钱包和温钱包被盗之后，交易所后来将其估值约为387.5百万美元。

Sergeenkov计算出THORChain流动性提供者从涉及被盗资金的交换中收到了573,226美元。根据他研究中提供的交易数据，MetaMask又收取了149,417美元，Chainflip收到了26,751美元，CoW EthFlow收到了12,332美元。

该分析不仅限于识别处理资产的协议。Sergeenkov单独检查了THORChain附属费用，并追踪了一些收款地址如何与参与移动被盗资金的钱包互动。

THORChain附属费用达到259,718美元

THORChain交换可以包含一个附属费用，该费用被路由到交换指令中指定的单独收款人。Sergeenkov发现259,718美元的附属费用流向了七个地址，这些地址后续的交易活动提供了他所描述的与参与被盗资金交换的钱包的额外金融联系。

他的分析并不声称被命名为附属收款人就证明一个地址属于攻击者。接口或脚本可以在发送者签署交易之前插入收款地址，包括当服务收取推荐费用时。因此，Sergeenkov表示，仅凭收款字段无法确定谁控制一个地址。

相反，他分离了交易历史提供了另一个连接的收款人。

在这个类别中，最大的地址thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4收到了177,499美元的费用。Sergeenkov通过主要资金的共享收款人将其与洗钱活动联系起来。

另一个地址收到了56,514美元，并具有相同类型的连接。第三个地址收到了18,080美元，Sergeenkov发现一些费用收入被返回到提交了其中一个交换的钱包。

其他关联收款人收到了4,544美元、2,885美元和196美元。一个地址在转移资金到分析中检查的另一个费用收款人之前收到了不到1美元。

在某些情况下，命名不同附属收款人的不同交换将主要被盗资金发送到相同的比特币目的钱包。根据Sergeenkov的说法，其他交易显示费用收入回流到交换发送者或在审查的费用收款人之间移动。

一些费用收入最终到达标记为OKX的钱包

Sergeenkov追踪了部分177,499美元的费用收入，超出了THORChain的范围。

根据研究，部分RUNE费用收入被兑换为USDT，然后通过两个以太坊钱包转移。这些资金最终到达了Etherscan标记为“OKX热钱包5”的地址。

Sergeenkov表示，OKX可以利用其内部存款记录来确定这些转账是否对应于客户账户，并识别其持有者。他的分析并未确定账户的所有者或交易所客户是否参与了Bitget盗窃案。

费用追踪为Bitget泄露后的资产流动增加了另一层面。正如crypto.news之前报道的，截止BlockSec 9月29日的快照，约有2.69亿美元通过THORChain进行了7804笔交易，尽管这一数字代表的是通过价值，可能包括同一资金多次通过协议流动。

一个与Bitget相关的钱包后来完成了27笔THORChain交换，将约2390 ETH转换为75.2 BTC，当时价值约630万美元。

另有206,196美元流向未建立联系的接收方

Sergeenkov识别出一组THORChain关联接收方，他们从涉及被盗资金的交换中收集了206,196美元，但他未能通过审查的交易历史建立与黑客钱包的额外财务联系。

这一区分对他的分析至关重要。第二组中的地址出现在签名的交换指令中作为费用接收方，但Sergeenkov没有找到用于将第一组放入关联类别的额外资金流动。

未关联组中最大的接收方与注册的THORChain名称naswap相关，收到了102,344美元。一个以多个名称（包括w1、t、vi、ss、dx、ej和symbiosis）记入费用的THORChain持有账户占据了92,438美元。

另一个与名称tch相关的地址收到了7,245美元，而使用ns的地址收集了2,994美元。另一个接收方收到了1,176美元。Sergeenkov表示，持有账户的最终支付在他的分析中尚未被追踪。

他的发现是在Bitget和THORChain公开争论是否应该干预涉及已识别攻击者地址的交易后得出的。Bitget曾要求THORChain拒绝服务于与泄露相关的地址，而THORChain表示其紧急停止机制旨在保护网络操作，并未为单个交易提供选择性冻结。

其他服务采取了不同的方法。NEAR Intents表示其SHIELD系统阻止了超过5000万美元与Bitget钱包相关的转账尝试，并在执行过程中冻结了约503,000美元。根据NEAR Intents总经理Alex Shevchenko的说法，约166,000美元在可疑资金流动被停止之前已经通过。

Sergeenkov的研究关注的是在被盗资产移动和交换时产生的费用，而不是已回收或冻结的金额。他的761,725美元总额由协议和服务从审查的交换中获得的费用组成，而259,718美元和206,196美元的数字则基于他的交易审查是否发现与移动被盗资金相关的钱包的额外财务联系，识别出两组THORChain关联接收方。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。