Атака на Coinsbuy: 8 мільйонів доларів зникли за годину — детальний розбір
Криптовалютна платформа Coinsbuy стала жертвою масштабної скоординованої атаки, в результаті якої 9 серпня було викрадено $8,07 млн. Мій аналіз ончейн-даних показує, що інцидент зачепив одразу дві найбільші мережі — TRON та Ethereum, що вказує на високий рівень підготовки зловмисників.
Хронологія зламу
Атака розпочалася з тестової транзакції на 5 USDT у мережі TRON — класична ознака перевірки контролю над гаманцем. Вже за годину зловмисник вивів 6,04 млн USDT з восьми адрес, при цьому найбільший одиничний переказ становив близько 3,5 млн USDT. Паралельно хакер спустошив три гаманці на Ethereum, викравши 1,89 млн USDT та 77 ETH, які через децентралізований протокол 1inch були конвертовані в 981,1 ETH.
Ключовим доказом єдиної операції стало використання кроссчейн-сервісу Bridgers. Мій аналіз показує, що контракт виплат в Ethereum спрямовував кошти на адресу для свопів, причому суми та час транзакцій повністю збігалися з діями атакуючого в мережі TRON. Це виключає версію про два незалежні злами.
Рух викрадених коштів
Близько 79% вкрадених активів пройшли через обмінник FixedFloat, де було задіяно приблизно 50 одноразових адрес — типова схема заплутування слідів. Після звернення аналітиків Specter Investigations сервіс ChangeNOW заморозив 150 ETH (приблизно $288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може вказувати на поспішність злочинця або технічні складнощі з переміщенням коштів.
Дивна поведінка команди
Найбільш інтригуючим аспектом цього інциденту є реакція Coinsbuy. Протягом доби після атаки команда платформи поповнила ті самі скомпрометовані гаманці на 3,93 млн USDT. Сім із цих транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це нелогічне рішення свідчить про те, що команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто в здоровому глузді не поповнить зламаний гаманець семизначними сумами двічі за одну ніч, якщо тільки не знає, що контроль над ним не втрачено.
Спочатку повідомлялося про втрати в $7,9 млн, однак мій підрахунок окремих транзакцій показує точну суму збитків — $8 073 992. Ця розбіжність типова для інцидентів, де частина активів може бути заблокована або перебувати в процесі конвертації.
Мій коментар: Даний інцидент порушує серйозні питання щодо внутрішньої безпеки Coinsbuy. Той факт, що команда продовжує використовувати скомпрометовані адреси, вказує або на інсайдерську атаку, або на нерозуміння фундаментальних принципів безпеки. В умовах зростаючої активності хакерів, які лише за останні тижні викрали понад $89 млн у власників Coldcard, криптоплатформам критично необхідно переглянути свої протоколи управління ключами та впровадити багаторівневу систему моніторингу підозрілої активності.