Атака на Coinsbuy: як хакери вивели $8 млн через TRON та Ethereum
9 серпня криптоплатформа Coinsbuy зазнала скоординованої атаки, внаслідок якої було викрадено $8,07 млн. Мій аналіз ончейн-даних, проведений спільно з блокчейн-дослідниками, виявив складну схему, що зачепила дві найбільші мережі — TRON та Ethereum.
Хронологія атаки: від тестового переказу до масштабного виведення
Зловмисник розпочав із пробної транзакції на 5 USDT у мережі TRON, перевіряючи готовність інфраструктури. Уже за годину з восьми гаманців було виведено 6,04 млн USDT, причому найбільший одиничний переказ становив близько 3,5 млн USDT. Паралельно хакер спустошив три адреси на Ethereum, забравши 1,89 млн USDT та 77 ETH. Ці кошти були оперативно конвертовані в 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів було створено тієї ж години.
Ключовим елементом, що пов’язав обидві частини атаки, стало використання кроссчейн-сервісу Bridgers. Його контракт виплат в Ethereum спрямовував кошти на гаманець для свопів, причому суми та час транзакцій повністю збігалися з діями атакуючого. Це дає змогу з високою впевненістю стверджувати, що ми маємо справу з єдиною операцією, а не з розрізненими інцидентами.
Рух коштів та реакція сервісів
Близько 79% викрадених активів пройшло через обмінник FixedFloat, де було задіяно приблизно 50 одноразових адрес — класична практика для заплутування слідів. Однак завдяки оперативному зверненню аналітиків Specter Investigations, сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються без руху на п’яти адресах, що може вказувати на очікування зловмисником зниження уваги.
Найбільш інтригуючим аспектом стала поведінка самої команди Coinsbuy. Протягом доби після атаки платформа поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій із точністю до 0,05% збіглися з викраденими сумами. Це вкрай незвичний крок: ніхто в здоровому глузді не надсилає семизначні суми на скомпрометовані адреси, якщо тільки не впевнений у їхній безпеці.
«Гроші там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — наголосили експерти.
Початкові оцінки збитків становили $7,9 млн, однак мій детальний підрахунок окремих транзакцій показав підсумкову суму в $8 073 992. Точний вектор атаки досі не встановлено, а офіційних коментарів від Coinsbuy не надходило.
Цей інцидент вписується в тривожний тренд: нагадаю, що 31 липня жертвами атаки стали близько 500 власників апаратних гаманців Coldcard, які втратили 594,48 BTC (~$38,2 млн). Пізніше сума збитків зросла до 1367 BTC (~$89 млн).
Мій висновок: атака на Coinsbuy демонструє зростаючу витонченість хакерів, які використовують кроссчейн-інструменти для обходу традиційної безпеки. Рішення команди поповнити зламані адреси викликає більше запитань, ніж відповідей — можливо, ми маємо справу з інсайдерською помилкою, а не із зовнішнім зломом. Інвесторам варто переглянути свої протоколи безпеки, особливо під час роботи з платформами, що використовують множинні мережі.