Bitget被黑客攻击，产生的费用高达761,725美元，研究人员发现

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Bitget黑客事件中，资金清洗过程产生的费用高达76.1万美元

据独立研究员Andrey Sergeenkov分析，在涉及Bitget 3.875亿美元被盗资金的交易流转过程中，相关协议和服务商共收取了761,725美元的费用。其中，THORChain的流动性提供者获得了573,226美元，MetaMask收取了149,417美元，Chainflip收取了26,751美元，CoW EthFlow收取了12,332美元。

Sergeenkov追踪发现，有259,718美元的THORChain关联手续费流向了七个地址，这些地址与被用于转移被盗资金的钱包存在额外的资金关联。其中最大的关联地址收到了177,499美元，其部分手续费收入随后被转换为USDT，并最终转入一个被标记为OKX热钱包的地址。

另有206,196美元的手续费流向了其他接收方，但Sergeenkov未能在这些接收方与被盗资金转移涉及的钱包之间建立额外的资金关联。

详细分析：从Bitget被盗资产中获利

根据Sergeenkov向媒体提供的研究数据，此次分析涵盖了截至10月2日10:22 UTC的交易记录，重点审查了用于交换被盗资产的服务平台以及THORChain交换指令中标注的手续费接收地址。这一发现紧随9月24日Bitget热钱包和温钱包遭窃事件之后，该交易所后来估计损失金额约为3.875亿美元。

Sergeenkov的计算显示，涉及被盗资金的交换交易中，THORChain的流动性提供者获得了573,226美元。此外，MetaMask收取了149,417美元，Chainflip收取了26,751美元，CoW EthFlow收取了12,332美元。这些数据基于其研究中展示的交易日志。

该分析不仅识别了处理这些资产的协议，还单独审视了THORChain的关联手续费，并追踪了部分接收地址如何与被用于转移被盗资金的钱包进行交互。

THORChain关联手续费追踪

THORChain的交换可能包含定向至独立接收方的关联手续费。Sergeenkov发现，共有259,718美元的关联手续费流向了七个地址。通过对后续交易活动的分析，他发现这些地址与被用于转移被盗资金的钱包之间存在他所谓的“额外资金关联”。

需要指出的是，Sergeenkov的分析并未声称被标注为关联接收方就能证明该地址属于攻击者。在用户签署交易之前，界面或脚本可能会插入接收方地址，例如当服务商收取推荐费时。因此，仅凭接收方字段无法确定地址的控制者。

相反，他筛选出了那些通过交易历史提供其他连接线索的接收方：

最大关联地址：地址 thor18dvgrgpvxlh7rhhld4qjyrxs9c7tvwdakrkjm4 收到了177,499美元的手续费。Sergeenkov通过主要资金共享接收方的方式，将其与洗钱活动联系起来。
第二关联地址：另一个地址收到了56,514美元，具有相同类型的连接。
第三关联地址：该地址收到了18,080美元。Sergeenkov发现，部分手续费收益被退回给提交了其中一次交换操作的钱包。
其他关联接收方：分别收到了4,544美元、2,885美元和196美元。还有一个地址收到的费用不足1美元，随即将其转移给了分析中的另一个手续费接收方。

在某些情况下，不同的交换操作指定了不同的关联接收方，但将主要的被盗资金发送到了相同的比特币目标钱包。其他交易则显示手续费收益回流至交换发送方或在审查过的手续费接收方之间流动。

部分手续费最终流入OKX标记的钱包

Sergeenkov追踪了上述最大关联地址在收到177,499美元后，超出THORChain层面的资金流向。其中一部分RUNE手续费收入被兑换成USDT，然后经过两个以太坊钱包传递。根据研究，资金最终到达了Etherscan上标记为“OKX Hot Wallet 5”的地址。

Sergeenkov表示，OKX可以利用其内部存款记录来确定这些转账是否对应客户账户，并识别持有人。然而，他的分析并未确立该账户的所有权，也未证实交易所客户是否参与了Bitget盗窃案。

这笔手续费追踪增加了Bitget漏洞发生后资产流动的另一个层面。此前报道指出，根据BlockSec在9月29日的快照，约有2.69亿美元通过THORChain进行了7,804笔交易。尽管这一数字代表的是通过价值，且可能包括同一笔资金多次通过该协议的情况。

随后，一个与Bitget相关的钱包完成了27次THORChain交换，将约2,390枚ETH转换为75.2枚BTC，当时价值约630万美元。

另外206,196美元流向无明确关联的接收方

Sergeenkov还确定了一组独立的THORChain关联接收方，他们从涉及被盗资金的交换中获得了206,196美元。但在其审查的交易历史中，未能将这些接收方与黑客钱包建立额外的资金关联。

这一区分是其分析的核心。第二组地址作为手续费接收方出现在已签署的交换指令中，但Sergeenkov未发现用于将第一组归入“关联类别”的那种额外资金流动。

在无关联组中，最大的接收方与注册的THORChain名称“naswap”相关联，收到了102,344美元。一个持有多个名称（包括w1、t、vi、ss、dx、ej和symbiosis）费用的THORChain持仓账户，共计收到92,438美元。

另一个与名称“tch”相关的地址收到了7,245美元，使用“ns”的地址收到了2,994美元。另一接收方收到了1,176美元。Sergeenkov表示，在其分析中未追踪到该持仓账户的最终支付情况。

行业反应与总结

Sergeenkov的研究发布之际，Bitget与THORChain就协议是否应介入涉及已识别攻击者地址的交易一事公开产生了分歧。Bitget曾要求THORChain拒绝服务于与泄露事件相关的地址，而THORChain则表示其紧急暂停机制旨在保护网络运营，并不提供针对单个交易的选择性冻结。

其他服务提供商采取了不同的方法。NEAR Intents表示，其SHIELD系统阻止了超过5,000万美元与Bitget钱包相关的尝试转账，并在执行期间冻结了约503,000美元。据NEAR Intents总经理Alex Shevchenko称，在停止可疑流量之前，约有166,000美元已通过。

Sergeenkov的研究关注的是在被盗资产移动和交换过程中产生的费用，而非追回或冻结的金额。他统计的761,725美元总额由协议和服务商从审查过的交换中赚取的费用组成；而259,718美元和206,196美元这两个数字则根据交易审查是否发现了与被用于转移被盗资金的钱包之间的额外资金联系，将THORChain关联接收方分为两组。