01.10.2026

Отчёт по взлому Bitget: вход был не в блокчейне

30 сентября случилось сразу два события по одному и тому же делу. SlowMist вместе с Mandiant опубликовали промежуточный отчёт о краже с горячих кошельков Bitget. И в тот же день ZachXBT сообщил, что похищенное начали заводить в экранированный пул Zcash.

Вместе они показывают всю дорогу денег — от точки входа до точки, где публичный след заканчивается.

ЧТО В ОТЧЁТЕ (данные SlowMist, не наши)

Вход был не через блокчейн. Скомпрометированы оказались два сторонних продукта безопасности и хост кошелькового приложения.

Самая ранняя вредоносная активность в логах — 31 августа. Почти за месяц до кражи. На одном из узлов «продукта А» использовали уязвимость нулевого дня: скрытый скрипт прочитал пароль базы из переменной окружения и подключился к ней. Похожее повторилось 23 и 25 сентября на двух других узлах.

25 сентября в 00:07 атакующий зашёл в панель управления «продукта Б» под учётной записью сотрудника и трижды подряд пытался протащить системные команды через параметры задач.

Отдельная находка — восстановленный инструмент вывода, написанный под логику именно этого кошелькового сервиса. Он подделывал параметры риск-контроля и сам вызывал процедуру вывода.

Первый подтверждённый перевод — 02:31, и это 93 TRX. Через одиннадцать секунд на адрес в Ethereum пришло 0,84 ETH. Всё движение уложилось примерно в 2 часа 52 минуты.

ЧТО ИЗМЕРИЛИ МЫ САМИ (опубликовано 26.09)

34,75 млн USDT и 12,85 млн USDC ушли с адреса взломщика за 8,5 часов — 49 переводов на 19 кошельков. При этом 24 596 ETH не двинулись вообще. Кошельки-получатели были созданы через 34 минуты после обнаружения взлома.

ЧЕГО МЫ ПРОВЕРИТЬ НЕ СМОГЛИ

Цифры по Zcash — около 2700 ZEC на сумму порядка 3,8 млн долларов — приводим со ссылкой на ZachXBT, а не как свою находку. Все публичные источники по Zcash нашему серверу отказывают: blockchair отвечает 430, 3xpl — 403, explorer.zec.rocks не отвечает вовсе. Что мы проверить смогли — арифметику: при сегодняшней цене ZEC около 1454 долларов 2700 монет дают примерно 3,9 млн. Сходится.

ЛЕСТНИЦА, ПО КОТОРОЙ УХОДЯТ ДЕНЬГИ

Первыми двигают то, у чего есть эмитент. USDT и USDC можно заморозить по решению компании, поэтому их гонят сразу и быстро.

Эфир стоит на месте. Его замораживать некому, спешить незачем.

Дальше — туда, где эмитента нет и где публичный след обрывается: экранированный пул.

ЧТО ИЗ ЭТОГО СЛЕДУЕТ

Точкой входа оказался не блокчейн, а то, что стояло рядом с кошельком: два продукта безопасности и один хост. Ончейн-аналитика показывает, куда ушли деньги, но не показывает, как в дом вошли.

И второе. Первым сигналом на цепочке были 93 TRX — сумма, на которую никто не смотрит. Мониторинг, настроенный на «крупные переводы», такой первый шаг пропустит.

🔎 Проверить адрес и посмотреть, куда уходили средства: https://t.me/amlconsensus_bot?start=ru

Отчёт целиком: https://x.com/slowmist_team/status/2105145931645743534