Witwassers Bitget hack vragen openlijk hulp in Discord

Blockchain speurder ZachXBT heeft ontdekt dat Chinese actoren die geld witwassen uit de $387 miljoen Bitget exploit openlijk om hulp vragen in publieke Discord servers en Telegram kanalen van de diensten die ze gebruiken. De witwassers zouden handelen namens vermoedelijke Noord-Koreaanse aanvallers en lieten daarbij onbedoeld hun identiteit en transacties bloot.

In het kort:

• Vijf aliassen zijn geïdentificeerd als witwassers van gestolen Bitget fondsen, vermoedelijk op verzoek van Noord-Koreaanse hackers.
• De actoren vroegen publiekelijk om ondersteuning bij vastgelopen transacties via THORChain, waardoor ZachXBT ze kon traceren.
• Eén van de personen was eerder al betrokken bij het witwassen van fondsen uit de $292 miljoen Kelp DAO exploit.

Openbaar om hulp vragen terwijl je witwast

De vijf geïdentificeerde personen opereren onder de aliassen Cc, jack, Melon, lolo/Marin en HELP ME. Ze namen contact op met supportmedewerkers van diensten zoals SwapKit en NativeSwap nadat hun transacties via THORChain niet goed verliepen.

In de screenshots is te zien hoe een van de actoren klaagt dat hij 277.724 XRP instuurde voor een swap naar Bitcoin, maar slechts 431 XRP terugkreeg. Een ander meldde dat twee Bitcoin swaps waren geannuleerd na een storing in het netwerk. Door dit soort openbare berichten konden de transactie-ID’s aan de bekende exploit wallets worden gekoppeld.

Zelfde patroon als bij eerdere Noord-Koreaanse exploits

ZachXBT geeft aan hetzelfde werkpatroon eerder te hebben herkend bij meerdere aanvallen die worden toegeschreven aan de Noord-Koreaanse hackergroep TraderTraitor. Hij volgt deze groepen al langere tijd en kondigt aan de komende weken meer data te publiceren.

Alias lolo/Marin valt daarbij extra op: dezelfde persoon was eerder betrokken bij het witwassen van fondsen uit de Kelp DAO exploit, waarbij eerder dit jaar $292 miljoen werd buitgemaakt. Dit wijst op een gestructureerd netwerk van Chinese tussenpersonen dat herhaaldelijk voor Noord-Koreaanse aanvallen wordt ingezet.

Momenteel worden de gestolen fondsen via bridges van het ene naar het andere netwerk gestuurd en gestort in mixdiensten zoals Wasabi, zo meldt ZachXBT. Bij Wasabi worden transacties samengevoegd om de herkomst van fondsen te verhullen. De Bitget CEO eiste eerder al dat THORChain de hackeradressen blokkeert, maar de witwassers lijken vooralsnog actief door te gaan.