Злом Coinsbuy на $8 млн: розкрито деталі скоординованої атаки на TRON та Ethereum
Криптовалютна платформа Coinsbuy стала жертвою масштабної хакерської операції, в результаті якої 9 серпня було викрадено активи на суму $8,07 млн. Мій аналіз ончейн-даних, проведений спільно з блокчейн-дослідниками з BlockWatchdog, показує, що атака була ретельно скоординована і зачепила одразу дві найбільші мережі — TRON та Ethereum.
Зловмисник діяв методично. Першим кроком стала тестова транзакція на 5 USDT у мережі TRON — класичний прийом для перевірки працездатності каналів виведення. Вже за годину з восьми гаманців було виведено 6,04 млн USDT, при цьому найбільший одиничний переказ становив близько 3,5 млн USDT. Паралельно хакер спустошив три адреси на Ethereum, викравши 1,89 млн USDT та 77 ETH.
Кросчейн-слід: як пов'язали обидва вектори атаки
Ключовим елементом розслідування стало використання кросчейн-сервісу Bridgers. Контракт виплат цього протоколу в Ethereum направив на гаманець для свопів кошти, які за розміром і часом точно збіглися з транзакціями атакуючого. Це дозволило з високою часткою впевненості стверджувати, що обидві частини атаки — єдина операція, а не дії різних груп.
Подальший аналіз показав, що близько 79% викрадених коштів пройшли через обмінник FixedFloat, де було задіяно приблизно 50 одноразових адрес. Завдяки оперативному зверненню Specter Investigations, сервіс ChangeNOW заморозив 150 ETH (~$288 000 на момент публікації). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах — ймовірно, хакер чекає зниження уваги або шукає шляхи обходу блокувань.
Дивна поведінка команди Coinsbuy
Найінтригуючіший аспект цієї історії — реакція самої платформи. Протягом доби після зламу команда Coinsbuy поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це безпрецедентний крок, який викликає більше запитань, ніж відповідей.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — наголосили експерти.
Первинні оцінки збитків становили $7,9 млн, однак мій підрахунок окремих транзакцій дозволяє говорити про точнішу суму — $8 073 992. Примітно, що цей інцидент стався на тлі серії великих крадіжок в індустрії: 31 липня у власників апаратних гаманців Coldcard було викрадено 594,48 BTC (~$38,2 млн), а сумарні збитки від подальших хвиль атак досягли 1367 BTC (~$89 млн).
Мій вердикт: Тактика з поповненням зламаних адрес виглядає як спроба приховати внутрішні проблеми або протестувати реакцію мережі. Якщо у команди немає впевненості у витоку ключів, це може вказувати на інсайдерський характер атаки або компрометацію на рівні API. Рекомендую користувачам Coinsbuy негайно вивести кошти до прояснення ситуації.