Атака на Coinsbuy: як хакери вивели $8 млн із мереж TRON та Ethereum
9 серпня криптоплатформа Coinsbuy стала жертвою скоординованої атаки, що зачепила блокчейни TRON та Ethereum. Мій аналіз ончейн-даних показує, що сукупні збитки склали $8,07 млн, причому зловмисник діяв з вражаючою методичністю, починаючи з тестової транзакції на 5 USDT у мережі TRON.
Хронологія та масштаб зламу
Протягом години після тестового переказу хакер вивів 6,04 млн USDT з восьми гаманців у мережі TRON, при цьому найбільша одинична транзакція досягла ~3,5 млн USDT. Паралельно було спустошено три адреси на Ethereum, звідки витекли 1,89 млн USDT та 77 ETH. Примітно, що всі кошти конвертувалися в 981,1 ETH через децентралізований протокол 1inch, використовуючи гаманець, створений у той самий час — це вказує на високий ступінь підготовки.
Ключовим доказом єдиної операції стало використання кроссчейн-сервісу Bridgers. Його контракт виплат в Ethereum спрямовував кошти на адресу для свопів, причому суми та часові мітки повністю збігалися з транзакціями атакуючого. Це пов'язує обидві частини атаки в єдиний ланцюг.
Сліди та заморозка коштів
Близько 79% викрадених активів пройшло через обмінник FixedFloat, де зловмисник задіяв приблизно 50 одноразових адрес для заплутування слідів. Завдяки оперативному втручанню Specter Investigations, сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що може вказувати на поспіх або технічні складнощі у хакера.
Найбільш інтригуючим аспектом є поведінка самої платформи Coinsbuy. Протягом доби після атаки команда поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це безпрецедентний крок, який ставить під сумнів версію про компрометацію приватних ключів.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — підкреслюють дослідники.
Початкові оцінки збитків у $7,9 млн виявилися заниженими: мій підрахунок окремих транзакцій виявив втрати у $8 073 992. На тлі нещодавньої серії зламів, включаючи крадіжку 1367 BTC (~$89 млн) у власників Coldcard, цей інцидент підкреслює системну вразливість централізованих платформ.
Мій експертний висновок: Поповнення зламаних адрес після інциденту — вкрай нестандартний хід, який може вказувати на внутрішню помилку або інсценування. Однак, незалежно від вектора, цей випадок демонструє критичну важливість багаторівневого захисту та холодного зберігання активів для будь-яких криптосервісів.