Атака на Coinsbuy: як хакери вивели $8 млн через TRON та Ethereum
Мій аналіз ончейн-даних показує, що криптоплатформа Coinsbuy втратила $8,07 млн внаслідок складної скоординованої атаки, проведеної 9 серпня одночасно в мережах TRON та Ethereum. Це не випадковий інцидент, а ретельно спланована операція, яка розкриває вразливості в управлінні ліквідністю на централізованих майданчиках.
Хронологія зламу
Атакуючий діяв методично. Почавши з тестового переказу в розмірі 5 USDT у мережі TRON, він протягом години вивів 6,04 млн USDT з восьми гаманців. Найбільша операція склала близько 3,5 млн USDT — це класичний патерн, коли зловмисник спочатку перевіряє реакцію системи, а потім завдає масованого удару.
Паралельно було спустошено три адреси на Ethereum, звідки пішли 1,89 млн USDT та 77 ETH. Примітно, що кошти через децентралізований агрегатор 1inch були конвертовані в 981,1 ETH, причому гаманець для свопів був створений у ту ж годину. Це свідчить про високий рівень підготовки та використання автоматизованих інструментів для миттєвої ліквідності.
Ключова улика — кроссчейн-міст
Сполучною ланкою між двома частинами атаки став кроссчейн-сервіс Bridgers. Його контракт виплат в Ethereum направив у гаманець для свопів суми, які за розміром і часом точно збіглися з транзакціями атакуючого. Це не збіг, а явна ознака єдиної операції, що об'єднує дві мережі.
Рух викрадених коштів
Близько 79% вкрадених активів пройшло через обмінник FixedFloat, де було задіяно приблизно 50 одноразових адрес — типова практика для заплутування слідів. Однак частково кошти вдалося заморозити: ChangeNOW після звернення Specter Investigations заблокував 150 ETH (близько $288 000). Ще 282 ETH (~$542 000) залишаються недоторканими на п'яти адресах, що вказує на можливу поспішність або недосвідченість частини учасників групи.
Дивна поведінка команди Coinsbuy
Найінтригуючий момент — реакція платформи. Протягом доби після атаки команда поповнила постраждалі гаманці на 3,93 млн USDT, причому сім транзакцій з точністю до 0,05% збіглися з викраденими сумами. Експерти справедливо зазначають: «Гроші знаходяться там досі. Це має сенс лише в тому випадку, якщо команда не вірить у витік приватних ключів. Адреса — це ключ: ніхто не поповнює зламаний гаманець семизначними сумами двічі за одну ніч».
Висновки аналітика
Точний вектор атаки залишається незрозумілим, а Coinsbuy утримується від офіційних коментарів. Однак я бачу тут тривожний сигнал для всієї індустрії: якщо команда сама не впевнена в компрометації ключів, це може вказувати на внутрішню загрозу або експлойт на рівні API. У контексті нещодавніх крахів — наприклад, викрадення 1367 BTC у власників Coldcard на $89 млн — стає очевидним, що хакери адаптуються швидше, ніж платформи посилюють захист. Рекомендую користувачам диверсифікувати зберігання активів і не тримати великі суми на централізованих сервісах без додаткових заходів безпеки.