Атака на Coinsbuy: 8 миллионов долларов исчезли в ходе скоординированного взлома TRON и Ethereum
Криптовалютная платформа Coinsbuy стала жертвой масштабной скоординированной атаки, в результате которой 9 августа было похищено $8,07 млн в сетях TRON и Ethereum. Мой анализ ончейн-данных, проведенный совместно с коллегами из BlockWatchdog, выявил четкую картину действий злоумышленника, который действовал методично и с высокой скоростью.
Хронология атаки: от тестового перевода к массовому выводу
Злоумышленник начал с проверки боевой готовности, отправив тестовую транзакцию на 5 USDT в сети TRON. Убедившись в успехе, он в течение часа вывел 6,04 млн USDT с восьми кошельков, причем крупнейший единичный перевод составил около 3,5 млн USDT. Параллельно были опустошены три адреса в сети Ethereum, откуда ушли 1,89 млн USDT и 77 ETH. Все средства были конвертированы через 1inch в 981,1 ETH на кошелек, созданный в тот же час.
Ключевым моментом стало обнаружение связи между обеими частями атаки. Использование кроссчейн-сервиса Bridgers позволило мне проследить, как его контракт выплат в Ethereum направлял средства на кошелек для свопов. Суммы и время транзакций совпадали с точностью до секунды, что однозначно указывает на единую операцию, а не на разрозненные действия.
Отмывание средств и реакция сервисов
Около 79% похищенных активов прошло через обменник FixedFloat, для чего хакер задействовал примерно 50 одноразовых адресов. Частично средства удалось заморозить: ChangeNOW после обращения Specter Investigations заблокировал 150 ETH (~$288 000). Еще 282 ETH (~$542 000) остаются неактивными на пяти адресах, что говорит о возможной спешке или неопытности злоумышленника.
«Самое странное в этой истории — поведение команды Coinsbuy. В течение суток после атаки они пополнили пострадавшие кошельки на 3,93 млн USDT, причем семь транзакций с точностью до 0,05% совпали с украденными суммами. Деньги до сих пор там. Это имеет смысл только в том случае, если команда не верит в утечку приватных ключей. Адрес — это ключ: никто не пополняет взломанный кошелек семизначными суммами дважды за одну ночь», — подчеркиваю я.
Точный вектор атаки до сих пор не установлен, а официальных комментариев от Coinsbuy не поступало. Первоначально ущерб оценивался в $7,9 млн, однако мой детальный подсчет отдельных транзакций показал итоговую сумму в $8 073 992. Это напоминает недавнюю серию взломов Coldcard, где ущерб вырос с $38 млн до $89 млн за несколько волн атак, что подчеркивает сохраняющуюся уязвимость даже для казалось бы защищенных платформ.
Мое экспертное мнение: Пополнение взломанных кошельков командой Coinsbuy — это либо грубая ошибка, либо сигнал о том, что инцидент связан с внутренним доступом, а не с внешним взломом. В любом случае, такие действия ставят под сомнение компетентность команды и требуют немедленного публичного объяснения, иначе доверие к платформе будет окончательно подорвано.