Атака на Coinsbuy: детальний розбір викрадення $8 млн у мережах TRON та Ethereum
Мій аналіз ончейн-даних показує, що інцидент із криптоплатформою Coinsbuy 9 серпня був ретельно спланованою операцією, а не випадковим зламом. Сумарні збитки склали $8 073 992, що перевищує початкові оцінки у $7,9 млн. Зловмисник діяв методично, починаючи з тестового переказу в 5 USDT у мережі TRON, після чого протягом години спустошив вісім гаманців на 6,04 млн USDT. Найбільше одноразове виведення досягло приблизно 3,5 млн USDT.
Паралельна атака на Ethereum та кроссчейн-слід
Одночасно хакер вивів із трьох адрес в Ethereum 1,89 млн USDT та 77 ETH. Ці кошти були конвертовані через децентралізований протокол 1inch у 981,1 ETH на гаманець, створений у ту ж годину. Ключова улика — використання кроссчейн-моста Bridgers: його контракт виплат в Ethereum переказав на адресу для свопів суми, що збігаються за часом та обсягом із транзакціями атакуючого. Це однозначно пов'язує обидві частини атаки в єдиний ланцюг.
Особливу увагу привертає маршрут відмивання коштів. Близько 79% викрадених активів пройшло через обмінник FixedFloat, який задіяв приблизно 50 одноразових адрес. Завдяки оперативному реагуванню сервісу ChangeNOW вдалося заморозити 150 ETH (~$288 000), а ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах. Це свідчить про те, що частину коштів усе ще можна повернути, якщо біржі продовжать співпрацю.
Дивна поведінка команди Coinsbuy
Найінтригуючіший аспект — реакція платформи. Протягом доби після зламу команда поповнила ті ж 10 скомпрометованих адрес на 3,93 млн USDT. Сім транзакцій збіглися з викраденими сумами з точністю до 0,05%. Подібні дії нелогічні, якщо припускати витік приватних ключів. Як справедливо зазначають дослідники, ніхто не надсилає семизначні суми на зламаний гаманець двічі за ніч, якщо не впевнений у його безпеці. Ймовірно, команда Coinsbuy вважає інцидент внутрішньою помилкою або тимчасовим збоєм, а не компрометацією ключів.
Точний вектор атаки досі не встановлено, і офіційних коментарів від платформи немає. Однак цей випадок підкреслює зростаючу тенденцію до складних кроссчейн-атак, де зловмисники використовують мости для заплутування слідів. На тлі нещодавніх викрадень у власників Coldcard на $89 млн, інцидент із Coinsbuy демонструє: навіть платформи з, здавалося б, надійною інфраструктурою вразливі перед скоординованими діями.
Моя експертна думка: Поповнення зламаних гаманців — це або акт відчаю, або ознака того, що інцидент має внутрішню природу. У будь-якому випадку, ринку потрібні суворіші стандарти безпеки для кроссчейн-операцій, інакше ми побачимо нові хвилі подібних атак.