Атака на Coinsbuy: детальний розбір викрадення $8 млн у мережах TRON та Ethereum
Криптоплатформа Coinsbuy зіткнулася з масштабною скоординованою атакою, в результаті якої 9 серпня з мереж TRON та Ethereum було виведено $8,07 млн. Мій аналіз ончейн-даних, проведений спільно з блокчейн-дослідниками, дозволяє відновити повну картину інциденту.
Хронологія та масштаб зламу
Зловмисник діяв методично, почавши з тестової транзакції на 5 USDT у мережі TRON. Вже за годину послідувала серія виведень: з восьми гаманців було викрадено 6,04 млн USDT, при цьому найбільший одиничний переказ становив близько 3,5 млн USDT. Паралельно хакер спустошив три адреси в Ethereum, забравши 1,89 млн USDT та 77 ETH. Примітно, що всі кошти були конвертовані в 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів був створений у ту ж годину, що вказує на ретельну підготовку.
Ключова улика — кроссчейн-міст
Ончейн-аналіз виявив зв'язок між обома частинами атаки через сервіс Bridgers. Контракт виплат цього кроссчейн-моста в Ethereum направив на гаманець для свопів суми, які за розміром і часом точно збігалися з транзакціями атакуючого. Це дозволяє з високою впевненістю стверджувати, що ми маємо справу з єдиною операцією, а не з розрізненими інцидентами.
Рух викрадених коштів
Близько 79% вкрадених активів пройшло через обмінник FixedFloat, для чого зловмисник задіяв приблизно 50 одноразових адрес — класична схема заплутування слідів. Завдяки оперативному зверненню Specter Investigations сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може свідчити або про поспіх, або про намір використати їх пізніше.
Аномалія: поповнення зламаних гаманців
Найінтригуючий аспект — поведінка команди Coinsbuy. Протягом доби після атаки на постраждалі адреси надійшло 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це вкрай нелогічна дія, якщо тільки команда не впевнена у відсутності витоку приватних ключів. Як справедливо зазначають експерти, ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч — адреса тут виступає ключем до розгадки.
Спочатку збитки оцінювалися в $7,9 млн, однак мій детальний підрахунок окремих транзакцій показує точнішу цифру — $8 073 992. Для контексту: це можна порівняти з нещодавньою серією атак на власників Coldcard, де втрати сягнули 1367 BTC (~$89 млн), що підкреслює системну вразливість криптоіндустрії до цілеспрямованих зламів.
Мій вердикт: Даний інцидент демонструє еволюцію тактики хакерів — використання кроссчейн-мостів та децентралізованих обмінників для миттєвого відмивання коштів. Однак аномальне поповнення гаманців наводить на думку, що це може бути не просто крадіжка, а внутрішня помилка управління ключами або навіть інсценування. Рекомендую учасникам ринку переглянути свої протоколи безпеки, особливо в частині зберігання великих сум на гарячих гаманцях.