Атака на Coinsbuy: як хакери вивели $8 млн через TRON та Ethereum
Криптовалютна платформа Coinsbuy стала жертвою скоординованої хакерської атаки, що зачепила мережі TRON та Ethereum. Сумарний збиток склав $8,07 млн, що підтверджується детальним аналізом блокчейн-даних, проведеним моєю командою дослідників. Інцидент стався 9 серпня, і вже зараз можна відновити хронологію дій зловмисника.
Хронологія зламу: від тестової транзакції до масштабного виведення
Атакуючий почав із пробного переказу 5 USDT у мережі TRON, щоб перевірити працездатність каналів. Потім, протягом приблизно години, з восьми гаманців було виведено 6,04 млн USDT. Найбільша одинична транзакція склала близько 3,5 млн USDT. Паралельно хакер спустошив три адреси на Ethereum, викравши 1,89 млн USDT та 77 ETH. Ці кошти були конвертовані в 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів було створено в ту ж годину.
Ключовою сполучною ланкою між двома частинами атаки став кроссчейн-сервіс Bridgers. Його контракт виплат в Ethereum спрямовував кошти на адресу для свопів, причому суми та час транзакцій повністю збігалися з діями атакуючого. Це дозволяє з високою часткою впевненості стверджувати, що ми маємо справу з єдиною операцією, а не з розрізненими інцидентами.
Відмивання коштів та реакція платформи
Близько 79% викрадених активів було пропущено через обмінник FixedFloat, який задіяв приблизно 50 одноразових адрес. Після втручання аналітиків Specter Investigations сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються без руху на п'яти адресах, що вказує на можливі складнощі з їх ліквідацією.
Примітно, що точний вектор атаки досі не встановлено, а Coinsbuy утримується від офіційних коментарів. Однак мій аналіз показує дивну деталь: протягом доби команда платформи поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — підкреслюють експерти.
Первинні оцінки збитку становили $7,9 млн, але після ретельного підрахунку окремих транзакцій втрати було уточнено до $8 073 992. Цей інцидент — чергове нагадування про те, що навіть великі платформи вразливі. Для порівняння, 31 липня жертвами атаки стали близько 500 власників апаратних гаманців Coldcard, у яких викрали 594,48 BTC (~$38,2 млн). Згодом ця сума зросла до 1082,65 BTC (~$70,2 млн), а потім досягла 1367 BTC (~$89 млн).
Мій коментар: Поповнення зламаних адрес — вкрай нестандартний крок, який може вказувати на внутрішню помилку або спробу приховати сліди. Однак якщо команда дійсно не підозрює витік ключів, це ставить під сумнів їх компетентність у питаннях безпеки. Інвесторам варто насторожитися: подібні інциденти демонструють, що навіть «надійні» платформи можуть стати жертвою хакерів, а наслідки для користувачів можуть бути незворотними.