Circle en Tether grijpen in na grote Bitget-hack

Het grootste deel van de buit bestaat uit ether (ETH). Die munten kunnen niet op dezelfde manier worden bevroren. Daardoor blijft een groot deel van het gestolen vermogen voorlopig onder controle van de aanvallers.

Circle en Tether blokkeren gestolen stablecoins

Circle plaatste vrijdagochtend om 05:00 UTC een Ethereum-adres op de zwarte lijst dat Etherscan aanduidt als “Bitget Exploiter 8”.

De wallet bevat ongeveer 170,47 ETH, 218.023 USDT en 99.990 USDC. Blockchainbeveiligingsbedrijf MistTrack meldde vervolgens dat ook Tether het adres heeft geblokkeerd.

Daarmee zit ongeveer $318.000 aan stablecoins vast. De aanvallers kunnen deze USDT en USDC niet meer normaal verplaatsen.

In verhouding tot de volledige Bitget-hack blijft het bedrag beperkt. Andere adressen die aan de aanvallers worden gekoppeld, bevatten volgens MistTrack nog meer dan 63.000 ETH.

Waarom kunnen stablecoins worden bevroren?

Een stablecoin is een cryptomunt die is ontworpen om een stabiele waarde te volgen. USDT van Tether en USDC van Circle zijn bijvoorbeeld gekoppeld aan de Amerikaanse dollar.

Anders dan bij Bitcoin en Ethereum staat achter deze stablecoins een centrale uitgever. Circle en Tether kunnen daardoor adressen blokkeren wanneer daar aanleiding voor is. De tokens blijven zichtbaar op de blockchain, maar de eigenaar kan ze daarna niet meer normaal gebruiken.

Bij ETH werkt dit anders. Ethereum heeft geen centrale partij die specifieke munten kan blokkeren. Zodra gestolen ETH naar een externe wallet is verstuurd, kunnen onderzoekers de transacties volgen, maar ze kunnen de munten niet simpelweg stilzetten.

Dat verschil speelt een belangrijke rol bij grote cryptohacks. Gestolen stablecoins kunnen soms worden onderschept, terwijl andere cryptomunten veel moeilijker terug te halen zijn.

Bitget legt uit hoe de aanval kon gebeuren

Volgens Bitget-CEO Gracy Chen kregen de hackers toegang tot een backendsysteem binnen de walletinfrastructuur van de beurs. Ze zouden vervolgens transactiegegevens hebben vervalst om het autorisatieproces van Bitget te misleiden en geld naar eigen wallets te sturen.

Chen benadrukt dat de aanvallers geen private keys hebben buitgemaakt.

Een private key is de geheime digitale sleutel waarmee iemand transacties vanuit een cryptowallet kan ondertekenen. Wie zo’n sleutel bezit, heeft in de praktijk controle over de bijbehorende crypto. Volgens Bitget lag het probleem deze keer dus in de interne infrastructuur en niet bij gestolen sleutels.

Beschermingsfonds moet verlies opvangen

Bitget zegt dat klanten niet voor de schade hoeven op te draaien. Het beschermingsfonds van de beurs bevat volgens Chen meer dan $464 miljoen. Dat is voldoende om het gemelde verlies van ongeveer $351,6 miljoen te dekken.

Voor gebruikers is vooral van belang of Bitget daadwerkelijk alle getroffen tegoeden kan herstellen en welke beveiligingsmaatregelen de beurs na de aanval invoert.

Het onderzoek naar de gestolen crypto loopt ondertussen door. Blockchainonderzoekers kunnen zien hoe de aanvallers hun ETH verplaatsen. Ook cryptobeurzen kunnen bekende adressen markeren en extra controles uitvoeren wanneer geld daarvandaan binnenkomt.

Dat maakt het lastiger om grote bedragen om te zetten, maar biedt geen garantie dat Bitget de gestolen ETH terugkrijgt.

Sneller ingrijpen dan bij eerdere hack

De snelle reactie van Circle valt op. Het bedrijf kreeg in april nog kritiek na de hack van Drift, waarbij ongeveer $285 miljoen werd gestolen.

De aanvaller verplaatste toen ongeveer $232 miljoen aan USDC van Solana naar Ethereum via Circle’s eigen cross-chain transferprotocol. Onderzoekers, waaronder ZachXBT, vonden dat Circle sneller had kunnen handelen om de betrokken wallets te blokkeren.

Bij de Bitget-hack volgde de blokkade veel sneller. Toch maakt het beperkte bedrag duidelijk dat zo’n ingreep alleen effectief is wanneer de aanvallers nog stablecoins bezitten die door een centrale uitgever kunnen worden geblokkeerd.

Wat betekent de Bitget-hack voor beleggers?

De hack laat opnieuw zien dat het risico bij een centrale cryptobeurs verder gaat dan alleen de beveiliging van private keys. Ook interne systemen die transacties controleren en goedkeuren kunnen een doelwit vormen.

Voor Nederlandse cryptobeleggers is vooral het onderscheid tussen bezit op een beurs en crypto in een eigen wallet relevant. Wie crypto bij een handelsplatform bewaart, vertrouwt niet alleen op de blockchain, maar ook op de beveiliging, processen en financiële reserves van die aanbieder.

Bij Bitget moet het beschermingsfonds de directe financiële schade opvangen. De komende tijd zal duidelijk worden hoe de aanval precies kon plaatsvinden en hoeveel van de gestolen crypto uiteindelijk kan worden teruggehaald.

Conclusie

Circle en Tether hebben na de Bitget-hack ongeveer $318.000 aan USDT en USDC geblokkeerd. Dat helpt, maar het bedrag valt in het niet bij de totale schade van ongeveer $351,6 miljoen.

Het grootste deel van de gestolen crypto bestaat uit ETH, dat niet centraal kan worden bevroren. Bitget zegt dat zijn beschermingsfonds van meer dan $464 miljoen groot genoeg is om de verliezen te dekken. Voor gebruikers blijft vooral belangrijk wat het onderzoek naar de beveiligingsfout oplevert en welke maatregelen de beurs daarna neemt.

Veelgestelde vragen

Hoe groot is de schade van de Bitget-hack?

Bitget verloor bij de aanval ongeveer $351,6 miljoen aan crypto. De beurs stelt dat zijn beschermingsfonds van meer dan $464 miljoen voldoende is om de schade op te vangen.

Waarom kunnen Circle en Tether gestolen crypto blokkeren?

Circle en Tether beheren respectievelijk USDC en USDT. Daardoor kunnen zij bepaalde adressen op een zwarte lijst zetten en de stablecoins in die wallets onbruikbaar maken. Bij gedecentraliseerde cryptomunten zoals ETH bestaat zo’n centrale mogelijkheid niet.

Kan Bitget de gestolen ETH terugkrijgen?

Dat is niet zeker. Onderzoekers kunnen de gestolen ETH via de blockchain volgen en handelsplatformen kunnen verdachte wallets markeren. Ze kunnen de ETH echter niet rechtstreeks bevriezen zoals Circle en Tether dat met hun stablecoins kunnen.