Новости криптомира

Криптовалютная платформа Coinsbuy стала жертвой масштабной скоординированной атаки, затронувшей одновременно сети TRON и Ethereum. Суммарный ущерб составил $8,07 млн, и мой анализ ончейн-данных позволяет восстановить детали этой сложной многоходовой операции, произошедшей 9 августа.

Хронология атаки: от тестового перевода до масштабного вывода средств

Злоумышленник действовал методично. Началось всё с тестовой транзакции на 5 USDT в сети TRON — стандартный прием для проверки работоспособности каналов вывода. Уже через час последовала основная волна: с восьми кошельков в блокчейне TRON было выведено 6,04 млн USDT. Крупнейший единичный перевод составил около 3,5 млн USDT, что указывает на заранее спланированную схему распределения средств.

Параллельно хакер опустошил три адреса в сети Ethereum, похитив 1,89 млн USDT и 77 ETH. Примечательно, что все средства были оперативно конвертированы в 981,1 ETH через децентрализованный протокол 1inch, причем кошелек для свопов был создан в тот же час, что и сама атака. Это говорит о высоком уровне подготовки.

Кроссчейн-связка: как удалось объединить обе части атаки

Ключевым элементом расследования стало использование кроссчейн-сервиса Bridgers. Его контракт выплат в Ethereum направил в кошелек для свопов суммы, которые по размеру и времени точно совпадали с транзакциями атакующего. Это позволило с высокой долей уверенности утверждать, что мы имеем дело с одной операцией, а не с двумя независимыми инцидентами.

Дальнейший анализ показал, что около 79% похищенных средств прошло через обменник FixedFloat с использованием примерно 50 одноразовых адресов. Благодаря оперативному вмешательству Specter Investigations, сервис ChangeNOW заморозил 150 ETH (~$288 000). Еще 282 ETH (~$542 000) остаются нетронутыми на пяти адресах — вероятно, хакер выжидает момент для их отмывания.

Странное поведение команды Coinsbuy

Самый интригующий аспект этого инцидента — реакция самой платформы. Coinsbuy не дала официальных комментариев, но в течение суток после атаки команда пополнила пострадавшие кошельки на 3,93 млн USDT. Семь транзакций с точностью до 0,05% совпали с украденными суммами. Это крайне необычный шаг.

«Деньги находятся там до сих пор. Это имеет смысл только в том случае, если команда не верит в утечку приватных ключей. Адрес — это ключ: никто не пополняет взломанный кошелек семизначными суммами дважды за одну ночь», — подчеркивают исследователи.

Первоначально сообщалось об ущербе в $7,9 млн, однако мой подсчет отдельных транзакций показывает потери в $8 073 992. Точный вектор атаки до сих пор не установлен, что оставляет открытым вопрос о внутренней компетенции команды или возможном инсайде.

Мой комментарий: Пополнение взломанных кошельков — это почти беспрецедентный случай. Либо команда уверена, что ключи не скомпрометированы и атака была внутренней ошибкой, либо это попытка замести следы. В любом случае, инцидент с Coinsbuy — очередное напоминание о том, что даже платформы с многомиллионными оборотами не застрахованы от сложных кроссчейн-атак. На фоне недавней кражи 1367 BTC у владельцев Coldcard, этот случай подтверждает тревожную тенденцию: хакеры становятся всё более изощренными, а защита — всё более сложной задачей.