Firma keamanan SlowMist menyatakan peretas yang diduga terkait Korea Utara mencuci dana hasil peretasan Bitget dengan memasangkan order CoW Protocol ke alamat deposit Chainflip, lalu mengonversi hasilnya menjadi Bitcoin. Temuan itu disampaikan pendiri SlowMist yang menulis di X dengan nama Cos pada 29 September, yang menilai pemeriksaan anti pencucian uang kini tertinggal dari skrip pencucian otomatis, bahkan ketika Chainflip berupaya memblokir aliran dana tersebut.
Bagaimana Dana Dialirkan melalui CoW Protocol dan Chainflip
Dalam unggahan 29 September tersebut, Cos mengatakan SlowMist mendeteksi peretas yang terkait Korea Utara menggunakan CoW Protocol dan Chainflip untuk memindahkan dana dari Bitget. Sebuah skrip otomatis membuat order CoW dengan alamat penerima yang diarahkan ke kontrak deposit Chainflip yang telah disiapkan sebelumnya. Setelah order dieksekusi, Chainflip menangani pertukaran lintas rantai, dan aset tersebut dikonversi menjadi BTC.
Cos kemudian menggambarkan pola yang lebih luas setelah melacak dana tersebut selama beberapa jam. Chainflip berupaya memblokir aktivitas pencucian yang dicurigai, tetapi fragmentasi otomatis dan upaya berulang di berbagai jembatan lintas rantai dapat membuat pelaku mencoba jalur lain ketika sebuah transfer ditolak atau dikembalikan. Pada akhirnya, dana tersebut dikonversi menjadi BTC sebelum CoinJoin digunakan untuk lebih menyamarkan pergerakannya.
MistTrack, platform pelacakan dan kepatuhan kripto yang dikembangkan SlowMist, melaporkan bahwa Chainflip menolak satu upaya deposit. Pesan yang dikembalikan adalah “Deposit rejected by the broker”, namun dana tersebut dikembalikan, bukan dibekukan.
Sebelumnya, MistTrack menyoroti bahwa dana dari peretasan Bitget mengalir ke THORChain untuk pertukaran lintas rantai, dan berargumen bahwa L1 tanpa izin tersebut semestinya turut bertanggung jawab menangani dana curian. Namun, DEX itu menyatakan dirinya terdesentralisasi dan tanpa izin serta “tidak melakukan sensor secara desain”.
Jejak Serangan hingga Sistem Pihak Ketiga
Investigasi SlowMist melacak pencurian itu ke aktivitas yang dimulai sebelum transfer terjadi. Tindakan berbahaya paling awal dalam log yang tersedia tercatat pada 31 Agustus, ketika sebuah layanan pada produk pihak ketiga dikompromikan melalui kerentanan zero-day.
Penyerang kemudian mengakses platform manajemen produk kedua pada 25 September dengan menggunakan identitas karyawan internal, dan berupaya menyuntikkan perintah serta menulis berkas berbahaya.
Alat Penarikan Kustom dan Tanggapan Bitget
SlowMist juga menemukan alat penarikan yang dikustomisasi dari berkas yang telah dihapus. Alat itu disesuaikan dengan logika penarikan dompet Bitget, memalsukan parameter kontrol risiko, menyusun permintaan penarikan, dan memanggil proses penarikan tersebut.
Log menunjukkan alat itu mulai mengeksekusi pencurian pada 01.49 tanggal 25 September, dengan aktivitas on-chain dimulai pada 02.31 ketika 93 TRX dikirim ke alamat penyerang, disusul 11 detik kemudian oleh 0,84 ETH yang tiba di Ethereum. Transfer berlanjut di sejumlah blockchain hingga 05.23, mencakup sekitar 2 jam 52 menit. Pada waktu yang sama, penyerang juga berupaya mengubah catatan penarikan dan memicu penarikan BTC tambahan, menurut laporan SlowMist.
Bitget mengaitkan insiden tersebut dengan sistem backend pada infrastruktur dompetnya, bukan karena kunci privat yang dicuri, dan bursa itu menyatakan User Protection Fund akan menanggung pihak-pihak yang terdampak insiden ini.
