Bitget-Hack: Geldwäscher suchen offen Hilfe in Discord

Blockchain-Ermittler ZachXBT hat entdeckt, dass chinesische Akteure, die Gelder aus dem $387 Millionen schweren Bitget-Exploit waschen, offen in öffentlichen Discord-Servern und Telegram-Kanälen der von ihnen genutzten Dienste um Hilfe bitten. Die Geldwäscher sollen im Auftrag mutmaßlicher nordkoreanischer Angreifer handeln und dabei versehentlich ihre Identität und ihre Transaktionen preisgegeben haben.

Das Wichtigste in Kürze:

• Fünf Aliasnamen wurden als Geldwäscher der gestohlenen Bitget-Gelder identifiziert, vermutlich im Auftrag nordkoreanischer Hacker.
• Die Akteure baten öffentlich um Unterstützung bei feststeckenden Transaktionen über THORChain, wodurch ZachXBT sie zurückverfolgen konnte.
• Eine der Personen war bereits an der Geldwäsche von Geldern aus dem $292 Millionen schweren Kelp-DAO-Exploit beteiligt.

Öffentlich um Hilfe bitten, während man Geld wäscht

Die fünf identifizierten Personen agieren unter den Aliasnamen Cc, jack, Melon, lolo/Marin und HELP ME. Sie wandten sich an Support-Mitarbeiter von Diensten wie SwapKit und NativeSwap, nachdem ihre Transaktionen über THORChain nicht ordnungsgemäß verliefen.

In den Screenshots ist zu sehen, wie einer der Akteure beklagt, er habe 277.724 XRP für einen Swap in Bitcoin eingezahlt, aber nur 431 XRP zurückerhalten. Ein anderer meldete, dass zwei Bitcoin-Swaps nach einer Netzwerkstörung storniert worden seien. Durch diese öffentlichen Nachrichten ließen sich die Transaktions-IDs den bekannten Exploit-Wallets zuordnen.

Dasselbe Muster wie bei früheren nordkoreanischen Exploits

ZachXBT gibt an, dasselbe Arbeitsmuster bereits bei mehreren Angriffen erkannt zu haben, die der nordkoreanischen Hackergruppe TraderTraitor zugeschrieben werden. Er beobachtet diese Gruppen seit Längerem und kündigt an, in den kommenden Wochen weitere Daten zu veröffentlichen.

Der Alias lolo/Marin sticht dabei besonders hervor: Dieselbe Person war bereits an der Geldwäsche von Geldern aus dem Kelp-DAO-Exploit beteiligt, bei dem Anfang dieses Jahres 292 Millionen Dollar erbeutet wurden. Dies deutet auf ein strukturiertes Netzwerk chinesischer Mittelsmänner hin, das wiederholt für nordkoreanische Angriffe eingesetzt wird.

Derzeit werden die gestohlenen Gelder über Bridges von einem Netzwerk ins andere verschoben und in Mixdienste wie Wasabi eingezahlt, so ZachXBT. Bei Wasabi werden Transaktionen zusammengeführt, um die Herkunft der Gelder zu verschleiern. Der Bitget-CEO forderte bereits, dass THORChain die Hackeradressen blockiert, doch die Geldwäscher scheinen vorerst weiter aktiv zu sein.