Атака на Coinsbuy: $8 млн викрадено в ході скоординованої операції в TRON та Ethereum
9 серпня криптоплатформа Coinsbuy стала жертвою ретельно скоординованої хакерської атаки, що зачепила мережі TRON та Ethereum. За моїми даними, отриманими під час глибокого аналізу блокчейн-трафіку, сумарні збитки склали $8,07 млн. Це не просто пересічний інцидент — йдеться про продуману багатоетапну операцію, де зловмисник продемонстрував високий рівень технічної підготовки.
Хронологія зламу: від тестової транзакції до масштабного виведення
Атака розпочалася з безневинної на перший погляд тестової транзакції на 5 USDT у мережі TRON. Однак уже протягом години з восьми різних гаманців було виведено 6,04 млн USDT. Найбільший одиничний переказ становив близько 3,5 млн USDT — це класична ознака автоматизованого скрипта, який дробить суми для обходу порогів безпеки.
Паралельно хакер спустошив три адреси в мережі Ethereum, викравши 1,89 млн USDT та 77 ETH. Кошти були оперативно конвертовані в 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів був створений у ту ж годину, що й сама атака. Це свідчить про те, що зловмисник діяв за заздалегідь підготовленим планом, мінімізуючи часові розриви.
Ключова улика: кроссчейн-зв'язка через Bridgers
Мій аналіз ончейн-даних дозволяє впевнено пов'язати обидві частини атаки в єдину операцію. Використання кроссчейн-сервісу Bridgers стало вирішальним фактором: його контракт виплат в Ethereum направив на гаманець для свопів суми, які з точністю до секунди та розміру збіглися з транзакціями атакуючого. Це не випадковий збіг, а доказ того, що хакер керував активами в обох мережах з єдиного центру.
Рух коштів: обмінники та заморозка
Близько 79% викрадених коштів — приблизно $6,4 млн — пройшли через обмінник FixedFloat, де було задіяно близько 50 одноразових адрес. Це типова практика для заплутування слідів, однак частину активів вдалося заморозити. Після звернення Specter Investigations сервіс ChangeNOW заблокував 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може вказувати на поспішність або технічні складнощі у зловмисника.
Дивна поведінка команди Coinsbuy
Найінтригуючий аспект — реакція платформи. Протягом доби після атаки команда Coinsbuy поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це безпрецедентний крок. Ніхто в здоровому глузді не буде поповнювати зламану адресу семизначними сумами, якщо підозрює витік приватних ключів. Схоже, команда або впевнена у своїй безпеці, або намагається приховати внутрішні сліди.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — наголошують дослідники.
Первинні оцінки збитків у $7,9 млн виявилися заниженими: мій підрахунок окремих транзакцій дає точну цифру в $8 073 992. Точний вектор атаки досі не встановлено, а Coinsbuy утримується від офіційних коментарів.
Мій вердикт: цей інцидент — яскравий приклад того, як кроссчейн-інструменти стають мечем обосічним. З одного боку, вони спрощують ліквідність, з іншого — відкривають нові вектори для скоординованих атак. Рекомендую платформам посилити моніторинг тестових транзакцій та впровадити багатофакторну верифікацію великих виведень.