Атака на Coinsbuy: $8 млн викрадено в ході скоординованої операції в мережах TRON та Ethereum
Криптовалютна платформа Coinsbuy зіткнулася з масштабним зламом, у результаті якого втратила $8,07 млн. Інцидент стався 9 серпня і зачепив одразу два блокчейни — TRON та Ethereum. Мій аналіз ончейн-даних показує, що атака була ретельно спланована та виконана в стислі терміни, що вказує на високий рівень підготовки зловмисників.
Хронологія зламу: від тестової транзакції до масового виведення
Зловмисник розпочав із невеликої перевірочної транзакції на 5 USDT у мережі TRON, імовірно, щоб переконатися в працездатності обраного маршруту. Уже протягом наступної години з восьми гаманців було виведено 6,04 млн USDT. Найбільший одиничний переказ становив близько 3,5 млн USDT — це класична ознака автоматизованого процесу, а не ручних дій.
Паралельно хакер спустошив три адреси в мережі Ethereum, забравши 1,89 млн USDT та 77 ETH. Кошти були оперативно обміняні на 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів був створений тієї ж години. Така синхронність дій виключає випадковість.
Кросчейн-зв'язок та відмивання коштів
Ключовим елементом розслідування стало використання кросчейн-сервісу Bridgers. Його контракт виплат в Ethereum направив кошти на гаманець для свопів, причому суми та час збіглися з транзакціями атакуючого з точністю до хвилини. Це дозволило об'єднати обидві частини атаки в єдину операцію.
Відмивання викрадених активів також було продумане: близько 79% коштів пройшло через обмінник FixedFloat із використанням приблизно 50 одноразових адрес. Після втручання аналітиків Specter Investigations сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може свідчити про поспіх або технічні складнощі у зловмисників.
Дивна поведінка команди Coinsbuy
Найбільш інтригуючим аспектом є реакція платформи. Протягом доби після атаки команда Coinsbuy поповнила ті самі постраждалі гаманці на суму 3,93 млн USDT. Сім із цих транзакцій збіглися з викраденими сумами з точністю до 0,05%. Це вкрай незвична поведінка: ніхто в здоровому глузді не надсилає кошти на адресу, яка вже була скомпрометована.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — наголосили експерти.
Спочатку збитки оцінювалися в $7,9 млн, але детальний підрахунок транзакцій показав підсумкову суму $8 073 992. Точний вектор атаки досі не встановлено, а Coinsbuy не надала офіційних коментарів.
Мій коментар: Даний інцидент порушує серйозні питання щодо внутрішніх процедур безпеки в Coinsbuy. Поповнення зламаних адрес після атаки — це або груба помилка, або сигнал про те, що платформа знає більше, ніж говорить. У будь-якому випадку, цей випадок — нагадування про те, що навіть великі майданчики не застраховані від складних скоординованих атак, і користувачам варто диверсифікувати зберігання активів. На тлі нещодавньої серії зламів апаратних гаманців Coldcard, де втрати перевищили $89 млн, ринок явно вступає у фазу підвищеної активності хакерських угруповань.