Атака на Coinsbuy: 8 мільйонів доларів зникли в мережах TRON та Ethereum
Криптовалютна платформа Coinsbuy стала жертвою добре скоординованої хакерської операції, в результаті якої 9 серпня з її гаманців у блокчейнах TRON та Ethereum було виведено $8,07 млн. Мій аналіз ончейн-даних показує, що атака була ретельно спланована та виконана з високим ступенем технічної підготовки.
Хронологія та масштаб злому
Зловмисник розпочав із розвідувальної транзакції на 5 USDT у мережі TRON, щоб перевірити контроль над гаманцями. Уже за годину послідувала основна хвиля: з восьми адрес було виведено 6,04 млн USDT, причому найбільший одиничний переказ становив близько 3,5 млн USDT. Паралельно хакер спустошив три адреси в мережі Ethereum, забравши 1,89 млн USDT та 77 ETH. Ці кошти були миттєво конвертовані в 981,1 ETH через децентралізований протокол 1inch на гаманець, створений у той самий час.
Ключовим доказом єдиної операції стало використання кроссчейн-сервісу Bridgers. Його контракт виплат в Ethereum надсилав кошти на адресу для свопів сумами, які з точністю збігалися за часом та обсягом з атакуючими транзакціями. Це пов'язує обидві частини атаки в єдиний ланцюг дій.
Сліди та заморозка активів
Близько 79% викрадених коштів пройшли через обмінник FixedFloat, для чого було задіяно приблизно 50 одноразових адрес — класична практика заплутування слідів. Однак частину активів вдалося заморозити: сервіс ChangeNOW заблокував 150 ETH (~$288 000), а ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, ймовірно, очікуючи виведення.
Найбільш інтригуючим аспектом є поведінка самої команди Coinsbuy. Протягом доби після атаки платформа поповнила ті самі скомпрометовані гаманці на 3,93 млн USDT. Сім із цих транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це надзвичайно незвичний крок.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — підкреслюють дослідники.
Первинні оцінки збитків становили $7,9 млн, однак при детальному підрахунку окремих транзакцій підсумкова сума досягла $8 073 992. Точний вектор атаки поки що не встановлено, а офіційних коментарів від Coinsbuy не надходило.
Для контексту: це вже не перша велика крадіжка цього сезону. Нагадаю, що 31 липня жертвами стали власники апаратних гаманців Coldcard — у них було викрадено 594,48 BTC (~$38,2 млн), і ця сума згодом зросла до 1367 BTC (~$89 млн).
Мій коментар: Поповнення зламаних адрес після атаки — це або ознака внутрішнього інциденту, або надзвичайно ризикована спроба відновити ліквідність. У будь-якому випадку, цей випадок підкреслює важливість багаторівневої безпеки та швидкої реакції на підозрілу активність. Ринку варто уважніше стежити за подальшими рухами на цих адресах.