导语：区块链合规公司 AMLBot 表示，与 Bitget 安全事件相关的约 4 BTC 在跨 TRON、USDT0、以太坊和 THORChain 后进入 Wasabi CoinJoin。与此同时，Bitget 将确认损失上调至约 3.875 亿美元，并计划分阶段恢复提现。
AMLBot 追踪多链路径至 Wasabi CoinJoin
AMLBot 称，其追踪将一轮 CoinJoin 中的约 4 BTC 与一个与 Bitget 关联的 TRON 钱包资金连接起来。该公司将相关活动描述为明显试图掩盖被盗资产流动，并表示已拉黑关联地址，同时继续监控这批比特币是否出现进一步 CoinJoin 活动。
据 AMLBot，转移路线始于 TRON，攻击者将 TRX 兑换为 USDT。随后资金通过 USDT0 转移到以太坊；USDT0 是 Tether 为在受支持网络之间转移而设计的全链版本。到达以太坊后，资产被兑换为约 145 ETH。AMLBot 称，这些 ETH 随后通过 THORChain，并被转换为约 4.59 BTC。比特币随后被拆分为较小金额，并进入一轮 Wasabi CoinJoin。
CoinJoin 会将多位参与者的比特币输入和输出合并到同一笔交易中。该技术可使交易追踪更困难，因为区块链观察者无法简单地将一个输入映射到一个对应输出。AMLBot 将相关活动定性为通过 Wasabi CoinJoin 洗钱。
Bitget 确认损失升至 3.875 亿美元
Bitget 最初表示，9 月 24 日事件影响约 3.516 亿美元资产，涉及从部分热钱包和温钱包基础设施发生的未授权转移。交易所在 18:31 UTC 检测到相关活动，并暂停提现，同时存款和交易仍保持运行。根据其最初安全通知，冷钱包仍安全。
到 9 月 25 日，Bitget 的交易分类将确认金额上调至约 3.875 亿美元。交易所表示，增加并非来自漏洞后的新盗窃；调查人员发现了原始事件涉及的更多 Zcash 和 TRON 资产。受影响资产包括 ETH、XRP、USDT、USDC、USDT0、ZEC、XAUt、BNB、AVAX 和 TRX。
Bitget 公布了攻击者控制的主要地址，涉及以太坊兼容网络、XRP Ledger、Zcash 和 TRON，作为恢复工作的一部分。其初步发现指向后端钱包基础设施遭入侵，而非私钥泄露。CEO Gracy Chen 表示私钥仍安全，调查人员正在确认精确入侵路径。Bitget 后来称，安全团队已确定攻击路径及绕过现有控制的方法。公司表示底层漏洞已修复，但尚未公开完整技术根因报告。
大多数被盗资产仍处休眠
AMLBot 表示，CoinJoin 活动仅涉及与此次事件相关的资金的一小部分。在 9 月 25 日更新中，AMLBot 称其追踪的约 3.89 亿美元中，约 3.43 亿美元、即约 88%，尚未移动。该数据基于其归因于攻击者的地址。
AMLBot 识别出 13 个持有多种资产的休眠钱包。其中 8 个以太坊钱包包含约 68,300 ETH，4 个 XRP 地址持有约 8,300 万 XRP，另一个钱包包含近 18,900 ZEC。该公司称，这 13 个地址自收到资金以来均未发送交易。其后续 Wasabi 更新涉及的是另一部分已开始跨链和资产转换的被盗资产。
其他研究人员也追踪到单独的转换活动。Crypto.news 在 9 月 25 日报道，安全研究员 Taylor Monahan 识别出被盗 USDC 在攻击后被移动并兑换为 ETH。她的发现显示，攻击者控制的资产在离开 Bitget 后被跨链和兑换。报道指出，在法律要求满足时，Circle 可冻结指定地址的 USDC，但公开交易轨迹未确定当时是否有合格法律命令送达 Circle。
Bitget 准备分阶段恢复提现
Bitget 正准备恢复提现服务，此前其称导致事件发生的漏洞已修复。提现时间表从 UTC 9 月 28 日 08:00 的比特币开始。以太坊、BSC、Arbitrum、Base 和 Optimism 上的 ETH 提现计划于 9 月 29 日恢复。以太坊、BSC、Solana 和 TRON 上的 USDT 提现计划于 9 月 30 日恢复。其他代币提现、法币服务和 P2P 提现预计于 10 月 2 日恢复。
Bitget 表示，Mandiant 和 SlowMist 继续协助安全调查，同时其技术团队正在对提现基础设施进行验证。交易所称，其保护基金将覆盖此次事件造成的财务损失，客户账户余额保持不变。Bitget 报告称，提现暂停期间该基金持有超过 4.64 亿美元。Bitget 在漏洞发生前发布的 9 月储备证明更新显示，19 种覆盖资产的总储备率为 135%。交易所表示，其针对该计划覆盖的用户资产维持至少 1:1 的储备率。CEO Gracy Chen 计划于 UTC 9 月 28 日 07:30 主持直播 AMA，讨论该事件、提现恢复及交易所下一步行动。
归因说明：CoinJoin 追踪仍属 AMLBot 的区块链分析。公共区块链记录显示地址之间的转账、兑换和跨链活动，但每笔交易的目的系根据观察到的资金流和地址归因而推断。