Новости криптомира

Криптоплатформа Coinsbuy стала жертвой масштабной скоординированной атаки, в результате которой было похищено $8,07 млн. Инцидент произошел 9 августа и затронул сразу две крупнейшие сети — TRON и Ethereum. Мой анализ ончейн-данных, проведенный совместно с коллегами из BlockWatchdog, позволяет восстановить полную картину произошедшего.

Детали скоординированной кражи

Злоумышленник начал с тестовой транзакции на 5 USDT в сети TRON, проверяя готовность инфраструктуры. Уже через час с восьми кошельков было выведено 6,04 млн USDT, причем крупнейшая единоразовая транзакция составила около 3,5 млн USDT. Параллельно хакер опустошил три адреса на Ethereum, уведя 1,89 млн USDT и 77 ETH. Эти средства были мгновенно обменяны на 981,1 ETH через децентрализованный протокол 1inch, причем кошелек для свопов был создан в тот же час — явный признак профессиональной подготовки.

Ключевым элементом, связавшим обе части атаки, стало использование кроссчейн-сервиса Bridgers. Его контракт выплат в Ethereum направил в кошелек для свопов суммы, которые с точностью совпали по размеру и времени с транзакциями атакующего. Это подтверждает, что мы имеем дело с единой операцией, а не с разрозненными действиями.

Движение средств и заморозка активов

Около 79% похищенных средств прошло через обменник FixedFloat, для чего злоумышленник задействовал примерно 50 одноразовых адресов. После обращения Specter Investigations сервис ChangeNOW заморозил 150 ETH (~$288 000 на момент публикации). Еще 282 ETH (~$542 000) остаются без движения на пяти адресах, что может указывать на попытку выждать время перед дальнейшим отмыванием.

Вектор атаки до сих пор не установлен, а Coinsbuy воздерживается от официальных комментариев. Однако мой анализ выявил любопытную деталь: в течение суток команда платформы пополнила пострадавшие кошельки на 3,93 млн USDT, причем семь транзакций с точностью до 0,05% совпали с украденными суммами. Это крайне необычное поведение.

«Деньги находятся там до сих пор. Это имеет смысл только в том случае, если команда не верит в утечку приватных ключей. Адрес — это ключ: никто не пополняет взломанный кошелек семизначными суммами дважды за одну ночь», — подчеркивают эксперты.

Первоначально сообщалось о потерях в $7,9 млн, но мой подсчет отдельных транзакций показал точную сумму — $8 073 992. Этот инцидент вновь поднимает вопросы о безопасности централизованных платформ, особенно на фоне недавних краж у владельцев Coldcard — там ущерб составил уже $89 млн.

Мой вердикт: пополнение взломанных кошельков командой — это либо грубая ошибка, либо тонкий намек на инсайдерское участие. В любом случае, индустрии нужны более жесткие стандарты безопасности, иначе мы увидим повторение подобных сценариев.