Gestolen Bitget geld witgewassen via Wasabi CoinJoin

Een deel van het geld dat is gestolen bij de hack op cryptobeurs Bitget wordt volgens blockchain analyseplatform AMLBot nu witgewassen via Wasabi CoinJoin, een zogenoemde mixer die transacties moeilijk traceerbaar maakt. AMLBot wist zo’n 4 Bitcoin in een CoinJoin ronde te koppelen aan een Bitget TRON portemonnee. De betrokken adressen zijn inmiddels op een zwarte lijst gezet.

In het kort:

• AMLBot traceert ongeveer 4 BTC uit de Bitget hack naar Wasabi CoinJoin.
• Het geld werd via een reeks conversies omgezet van TRX naar USDT, vervolgens naar ETH en uiteindelijk naar Bitcoin via THORChain.
• Ruim 88% van het totaal gestolen bedrag van circa $389 miljoen staat nog stil in slapende portemonnees.

Complexe route via meerdere netwerken

Volgens AMLBot volgde het geld een omslachtige route voordat het in de mixer belandde. Eerst werden de gestolen TRX tokens omgezet naar USDT, waarna dit via USDT0 naar het Ethereum netwerk werd overgebracht. Daar werd het omgeruild voor circa 145 ETH.

Vervolgens werd het bedrag via THORChain omgezet naar ongeveer 4,59 Bitcoin. Dat bedrag werd daarna opgesplitst en klaargemaakt voordat het in de CoinJoin ronde werd gestopt. AMLBot geeft aan de Bitcoin van de aanvaller actief te volgen op verdere CoinJoin activiteit.

Grootste deel van het gestolen geld staat stil

Eerder meldde AMLBot al dat het overgrote deel van de buit nog niet is verplaatst. Van de in totaal circa $389 miljoen die bij de hack zijn buitgemaakt, staat zo’n $343 miljoen, ofwel 88%, nog onaangeroerd in 13 slapende portemonnees. Het gaat om ongeveer 68.300 ETH verspreid over 8 portemonnees op het Ethereum netwerk, circa 83 miljoen XRP in 4 portemonnees en ongeveer 18.900 ZEC in één portemonnee.

Geen van deze wallets heeft sinds de aanval ook maar één transactie verstuurd. Alleen het kleinere actieve deel van het gestolen geld, zo’n $46 miljoen, wordt momenteel verplaatst en gewassen. Circle en Tether bevroren eerder al $318.000 aan tegoeden die aan de hack zijn gelinkt.

Bitget hervatte de opnames eerder gefaseerd na het beveiligingsincident. De aanvaller heeft nu een klein deel van de buit via een reeks netwerken en een mixer proberen te verbergen, maar de traceerbaarheid blijft vooralsnog gedeeltelijk intact dankzij het monitoringwerk van AMLBot.