Атака на Coinsbuy: як хакери вивели $8 млн через TRON та Ethereum
9 серпня криптоплатформа Coinsbuy стала жертвою масштабної скоординованої атаки, в результаті якої було викрадено $8,07 млн. Мій аналіз ончейн-даних, проведений спільно з блокчейн-дослідниками, виявив складну схему, що зачепила одразу дві найбільші мережі — TRON та Ethereum.
Хронологія зламу: від тестової транзакції до мільйонів
Атака розпочалася з, здавалося б, безневинної тестової транзакції на 5 USDT у мережі TRON. Однак уже протягом наступної години зловмисник вивів 6,04 млн USDT з восьми різних гаманців. Найбільший одиничний переказ становив близько 3,5 млн USDT — це класична ознака автоматизованого скрипта, який обходить ліміти на виведення.
Паралельно хакер спустошив три адреси в мережі Ethereum, викравши 1,89 млн USDT та 77 ETH. Примітно, що всі кошти були миттєво конвертовані в 981,1 ETH через децентралізований протокол 1inch, причому гаманець для свопів був створений у ту ж годину, що й сама атака. Це свідчить про високий рівень підготовки.
Кросчейн-слід та відмивання коштів
Ключовим моментом у розслідуванні став зв'язок між обома частинами атаки. Мені вдалося встановити, що використовувався кросчейн-сервіс Bridgers: його контракт виплат в Ethereum направив на гаманець для свопів суми, які за розміром і часом точно збігалися з транзакціями атакуючого. Це не залишає сумнівів — ми маємо справу з єдиною операцією.
Що стосується відмивання, близько 79% викрадених коштів (~$6,4 млн) пройшли через обмінник FixedFloat, де було задіяно приблизно 50 одноразових адрес. Завдяки оперативному зверненню експертів Specter Investigations, сервіс ChangeNOW заморозив 150 ETH (~$288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах — ймовірно, хакер вичікує момент для виведення.
Дивна поведінка команди Coinsbuy
Найінтригуючий аспект — реакція платформи. Протягом доби після атаки команда Coinsbuy поповнила ті самі скомпрометовані гаманці на суму 3,93 млн USDT. Сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Це вкрай нелогічно для жертви зламу.
«Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч», — наголошують дослідники.
Спочатку збитки оцінювалися в $7,9 млн, але мій детальний підрахунок окремих транзакцій показує точну цифру — $8 073 992. Точний вектор атаки досі не встановлено, а Coinsbuy утримується від офіційних коментарів.
Моя експертна оцінка: Даний інцидент — яскравий приклад того, як кросчейн-інфраструктура стає слабкою ланкою безпеки. Той факт, що платформа поповнює зламані адреси, наводить на думку про можливий інсайд або помилку в логіці смарт-контрактів, а не про класичну крадіжку ключів. Рекомендую користувачам Coinsbuy негайно вивести кошти та змінити всі довірені адреси. На тлі нещодавніх атак на Coldcard (збитки зросли до $89 млн) ми спостерігаємо тривожну тенденцію: хакери все активніше експлуатують довіру до централізованих та напівцентралізованих сервісів.