Arkham、Bitgetハッカーのウォレットから52回の送金・総額1,948万ドルを追跡

52回の送金で動いた1,948万ドル

9月にBitgetの暗号資産取引所から流出した資金が、再び大口で動き始めた。ハッカーのものとラベル付けされたウォレットは、10月21日10時2分(UTC)から10月24日2時48分(UTC)までの間に52回の送金で計1,948万ドルを移送した。そのほぼ全額がBTCで、1,933万ドルに達する。端数から逆算すると残りは約15万ドルのETHで、全体の約99.2%に相当する。ETH分の正確な数量は公表されていない。送金はハッカーに紐付けられた暗号資産ウォレットから行われ、そのほぼ全額が前歴のない新規の暗号資産ウォレットアドレスに着金した。そもそも出発点の地図が描けたのは、Bitgetが9月25日の回収に関する告知で、Ethereum互換ネットワーク、XRP Ledger、Zcash、TRONの受け取りアドレスを自ら公開していたためだ。

追跡ツールを運用するオンチェーン分析企業のArkham Intelligenceは、更新を「Bitgetハッカーは盗んだ資金を洗浄しているのか」という問いの形で提示した。そのオンチェーン追跡スレッドは、受け手側の取引所、ミキサー、店頭デスクを一切特定していない。投稿が記録しているのはラベル付きウォレットから資金が出ていく事実だけで、資産が売却されたのか、現金化されたのか、回収に向かったのかまでは確定しない。行き先の問題は依然未解決だ。Arkhamの定義では、ラベル付きウォレットとは同社が高い確度で特定のアクターと一致させたアドレスを指し、ラベルはコインがどこへ移動しても追従する。ただしスレッドには記録として問題になる不整合が一つある。冒頭投稿のタイムスタンプは64時間46分の幅を示すのに対し、後の投稿は同じ1,948万ドルを「過去48時間」の移送と表現している。10月24日2時48分(UTC)までの正確なタイムスタンプが、あくまで確定記録となる。

10月15日以降の台帳

視野を10月15日まで広げると、直近の1,948万ドルは長い台帳の一部にすぎない。この日以降、ハッカー関連ウォレットから新規アドレスへ流出した額は計7,801万ドルに上る。月1,500ドルのプランで最も深いエンタープライズ向けオンチェーン分析を提供するArkhamが日次の内訳を公表しており、その配分は偏っている。10月15日(木)に2,331万ドル、翌16日(金)に868万ドル、17日(土)に115万ドル、18日(日)に1,051万ドル。19日(月)は記録なし。その後は10月20日(火)に1,513万ドル、21日(水)に1,174万ドル、23日(金)に730万ドルとペースが戻り、22日(木)はわずか18万4,160ドルにとどまった。

動いた分より、残っている分が大きい。Arkhamの評価では、ラベル付きウォレットに残る資産は2億4,254万ドルで、このうち2,960.01 BTCが2億4,199万ドルに相当し、Ethereum、Hypercore、Solana、Tronにも小規模な残高がある。同社はこれを3億5,000万ドルの窃取額の69%と位置付ける。一方、Bitget自身の会計は基準が異なる。9月25日の告知で同取引所は被害額を当初推計の3億5,160万ドルから約3億8,750万ドルへ修正した。これは元の送金をより精緻に分類した結果、初回計算から漏れていたZcashとTRONの資産を加算したもので、その後に盗まれたわけではない。修正後の額に対する同じ時点の割合は約62.6%となる。ただしいずれの数値も、実際に回収された額を示すものではない。残存するラベル付き資産をドル推計と比べているにすぎない。

9月の記録は、攻撃者の経路設計が早くから固まっていたことを示す。追跡ツールのAMLBotは、TRONからUSDTへ、USDT0を経由してEthereumへ、さらにTHORChainを通る経路を追跡した末、約4 BTCがCoinJoinに送られたことを突き止めた。CoinJoinは複数ユーザーの取引を一つに束ねて資金の出自を分かりにくくする混合手法で、その過程で約4.59 BTCが現れ、BTCはさらに小口に分割された。独立系のBitqueryの追跡も、9月25日14時38分(UTC)時点で126.71 BTC相当のスワップ66件を確認しており、うち2件は同時点で処理中だった。ただしこれらの経路は10月の流出にはつながらない。直近の送金の行き先は依然特定されておらず、スレッドと共に公開された資料には、新たな資金移動を同じサービスに結び付ける取引単位の検証可能な証拠は含まれていない。

Bitgetの検証が確認したこと

Bitgetの公式説明(10月20日更新)は原因をはっきり述べている。第三者製セキュリティ製品の脆弱性により、攻撃者が高権限の内部認証情報を取得し、既存のリスク管理をすり抜ける不正な出金指示を送信できたという。同社は影響を受けるシステムの隔離と不具合の修正を完了し、顧客の残高は影響を受けなかったと説明する。段階的な出金再開は10月2日(金)に完了し、封じ込め後の不正送金は確認されていない。CEOのGracy Chen氏によれば、損失を吸収するプロテクションファンドは9月30日(水)時点で3億ドルを超えていた。再発防止策はこの一つの製品連携部分に限られ、未解決の課題はラベル付きウォレットに残る2億4,254万ドルが次にどこへ向かうかだ。利用者にとって今回の件は、コールドストレージから取引所とウォレットの使い分けに至る保管の在り方を改めて問うものとなった。出金が復旧した同プラットフォームの利用を検討する読者には、Bitgetでのビットコイン購入ガイドも参照できる。