Атака на Coinsbuy: $8 млн похищено в ходе скоординированной кроссчейн-операции
Криптовалютная платформа Coinsbuy подверглась масштабной скоординированной атаке 9 августа, в результате которой злоумышленники вывели активы на сумму более $8 млн. Мой анализ ончейн-данных позволяет восстановить полную картину этого инцидента, затронувшего две крупнейшие сети — TRON и Ethereum.
Хронология атаки и ключевые транзакции
Начало операции было характерным для профессиональных хакеров — тестовая транзакция на 5 USDT в сети TRON. Уже через час последовала серия выводов с восьми кошельков на сумму 6,04 млн USDT, при этом крупнейший единичный перевод составил около 3,5 млн USDT. Параллельно атакующий опустошил три адреса в сети Ethereum, забрав 1,89 млн USDT и 77 ETH. Примечательно, что средства были мгновенно конвертированы в 981,1 ETH через децентрализованный протокол 1inch — кошелек для свопов был создан в тот же час, что указывает на тщательную подготовку.
Ключевым элементом, связывающим обе части атаки, стал кроссчейн-сервис Bridgers. Его контракт выплат в Ethereum направил в кошелек для свопов суммы, которые с высокой точностью совпали по времени и объему с транзакциями атакующего. Это убедительное доказательство того, что мы имеем дело с единой скоординированной операцией, а не с разрозненными инцидентами.
Движение похищенных средств
Анализ показывает, что около 79% украденных активов прошло через обменник FixedFloat, для чего злоумышленник задействовал примерно 50 одноразовых адресов. Благодаря оперативному вмешательству Specter Investigations, сервис ChangeNOW заморозил 150 ETH (~$288 000). Еще 282 ETH (~$542 000) остаются нетронутыми на пяти адресах — вероятно, хакер выжидает, чтобы избежать отслеживания.
Наиболее интригующим аспектом является поведение самой платформы. В течение суток после атаки команда Coinsbuy пополнила пострадавшие кошельки на 3,93 млн USDT, причем семь транзакций с точностью до 0,05% совпали с украденными суммами. Это крайне необычный шаг.
«Деньги находятся там до сих пор. Это имеет смысл только в том случае, если команда не верит в утечку приватных ключей. Адрес — это ключ: никто не пополняет взломанный кошелек семизначными суммами дважды за одну ночь», — подчеркивают исследователи.
Точный вектор атаки остается неясным, а официальные комментарии от Coinsbuy отсутствуют. Первоначальная оценка ущерба в $7,9 млн была пересмотрена до $8 073 992 на основе детального подсчета отдельных транзакций.
Этот инцидент — очередное напоминание о растущей сложности атак в криптоиндустрии. Использование кроссчейн-сервисов и мгновенных свопов затрудняет отслеживание средств, а пополнение взломанных кошельков со стороны команды вызывает вопросы о реальной природе инцидента. В моей практике подобные действия часто указывают на внутреннюю угрозу или инсценировку, но окончательные выводы делать преждевременно. На фоне недавних краж у владельцев Coldcard (1367 BTC на $89 млн) очевидно: индустрия переживает волну профессиональных атак, требующих усиления мер безопасности на всех уровнях.