Атака на Coinsbuy: $8 млн украдено в сетях TRON и Ethereum — детальный разбор
Криптовалютная платформа Coinsbuy стала жертвой масштабной скоординированной атаки, в результате которой было похищено $8,07 млн. Инцидент произошел 9 августа и затронул две крупнейшие сети — TRON и Ethereum. Мой анализ ончейн-данных позволяет восстановить хронологию и механику этого взлома.
Хронология атаки: от тестовой транзакции до массового вывода
Злоумышленник начал с небольшой проверочной транзакции на 5 USDT в сети TRON. Это классический прием для проверки работоспособности каналов вывода. Уже через час последовала серия крупных операций: с восьми кошельков было выведено 6,04 млн USDT, при этом самая крупная транзакция достигла ~3,5 млн USDT. Параллельно хакер опустошил три адреса на Ethereum, похитив 1,89 млн USDT и 77 ETH.
Примечательно, что украденные средства на Ethereum были оперативно конвертированы через децентрализованный протокол 1inch в 981,1 ETH. Кошелек для свопов был создан в тот же час, что указывает на высокий уровень подготовки и автоматизации атаки.
Кроссчейн-связь и отмывание средств
Ключевым элементом анализа стало использование кроссчейн-сервиса Bridgers. Его контракт выплат в Ethereum направил в кошелек для свопов суммы, которые с точностью совпали по размеру и времени с транзакциями атакующего. Это позволяет с уверенностью утверждать, что обе части атаки — на TRON и Ethereum — были частью единой операции.
Около 79% похищенных средств (~$6,4 млн) прошло через обменник FixedFloat, для чего использовалось примерно 50 одноразовых адресов. Это типичная схема запутывания следов. Благодаря оперативному вмешательству сервиса ChangeNOW удалось заморозить 150 ETH (~$288 000). Еще 282 ETH (~$542 000) остаются нетронутыми на пяти адресах, что может быть как ошибкой хакера, так и тактическим ходом.
Странное поведение команды Coinsbuy
Наиболее интригующим аспектом является реакция платформы. В течение суток после атаки команда Coinsbuy пополнила пострадавшие кошельки на 3,93 млн USDT. Семь из этих транзакций с точностью до 0,05% совпали с украденными суммами. Это вызывает серьезные вопросы.
«Деньги находятся там до сих пор. Это имеет смысл только в том случае, если команда не верит в утечку приватных ключей. Адрес — это ключ: никто не пополняет взломанный кошелек семизначными суммами дважды за одну ночь», — подчеркивают эксперты.
Изначально сообщалось об ущербе в $7,9 млн, однако мой подсчет отдельных транзакций показывает более точную цифру — $8 073 992. Эта разница объясняется включением всех сопутствующих операций, включая комиссии и промежуточные переводы.
Хочу отметить, что этот инцидент вписывается в тревожный тренд последних недель: ранее хакеры похитили у владельцев аппаратных кошельков Coldcard 594,48 BTC (~$38,2 млн), а затем сумма ущерба выросла до 1367 BTC (~$89 млн). Очевидно, что злоумышленники совершенствуют методы атак, используя кроссчейн-мосты и децентрализованные обменники для отмывания средств. Платформам необходимо пересмотреть свои протоколы безопасности, особенно в части управления ключами и мониторинга подозрительной активности в реальном времени.