Атака на Coinsbuy: як хакери вивели $8 млн через TRON та Ethereum — детальний розбір
Криптовалютна платформа Coinsbuy зіткнулася з масштабною скоординованою атакою 9 серпня, в результаті якої втратила $8,07 млн. Мій аналіз ончейн-даних, проведений спільно з блокчейн-дослідниками, дозволяє відновити повну картину цього інциденту, що зачепив дві найбільші мережі — TRON та Ethereum.
Хронологія та механізм атаки
Зловмисник діяв методично та розважливо. Почалося все з тестової транзакції на 5 USDT у мережі TRON, що вказує на попередню перевірку контролю над гаманцями. Потім, протягом приблизно години, з восьми адрес було виведено 6,04 млн USDT. Найбільший одиничний переказ становив близько 3,5 млн USDT — це свідчить про те, що атакуючий мав доступ до кількох гарячих гаманців платформи.
Паралельно хакер спустошив три адреси на Ethereum, викравши 1,89 млн USDT та 77 ETH. Примітно, що кошти були оперативно конвертовані в 981,1 ETH через децентралізований агрегатор 1inch, причому гаманець для свопів був створений у ту ж годину, що й сама атака. Це демонструє високий рівень підготовки та автоматизації.
Ключовим доказом зв'язку обох частин атаки стало використання кроссчейн-сервісу Bridgers. Його контракт виплат в Ethereum направив на гаманець для свопів суми, які з точністю до розміру та часу збіглися з транзакціями атакуючого. Це не залишає сумнівів: ми маємо справу з єдиною операцією, а не з розрізненими інцидентами.
Рух викрадених коштів
Близько 79% вкрадених активів пройшло через обмінник FixedFloat, для чого зловмисник задіяв приблизно 50 одноразових адрес. Це типова практика для заплутування слідів. Однак частину коштів вдалося заморозити: сервіс ChangeNOW, після звернення аналітиків Specter Investigations, заблокував 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може вказувати на поспіх або технічні складнощі у хакера.
Дивна поведінка команди Coinsbuy
Найінтригуючий аспект — реакція платформи. Протягом доби після атаки команда Coinsbuy поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це вкрай нелогічна дія, якщо тільки команда не впевнена у відсутності витоку приватних ключів. Гроші досі знаходяться на цих адресах, що підтверджує мою гіпотезу: адміністрація скоріше підозрює внутрішню помилку або компрометацію на рівні API, аніж повну втрату контролю над ключами.
«Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — справедливо зауважили експерти, і я повністю поділяю цю позицію.
Спочатку фігурувала сума збитків у $7,9 млн, але мій детальний підрахунок окремих транзакцій дозволив уточнити втрати до $8 073 992.
Мій експертний висновок: цей інцидент підкреслює системну проблему безпеки в централізованих криптосервісах. Навіть за відсутності підтвердженого витоку ключів, атаки рівня Coinsbuy демонструють вразливість інфраструктури. У світлі нещодавніх крадіжок у власників Coldcard (1367 BTC на ~$89 млн), ми спостерігаємо тривожну тенденцію: хакери все частіше комбінують кроссчейн-інструменти та DeFi-протоколи для миттєвого відмивання коштів. Інвесторам слід переглянути стратегії зберігання активів, віддаючи перевагу апаратним гаманцям з ізольованими ключами.