За даними блокчейн-дослідника Specter та подальшого моніторингу від компаній з безпеки, гаманці, пов'язані з криптоплатіжним процесором Coinsbuy, ймовірно, були спустошені на понад 7,9 мільйона доларів у мережах Ethereum та TRON приблизно о 13:00 UTC 9 серпня.
Підсумок
- Гаманці, пов'язані з Coinsbuy, за повідомленнями, втратили 7,9 мільйона доларів у мережах Ethereum та TRON під час недільного спустошення.
- PeckShield простежив вкрадені кошти через ChangeNOW, FixedFloat та BingX після того, як Specter вперше повідомив про спустошення.
- ChangeNOW, за повідомленнями, заморозив шестизначну суму, поки зловмисники конвертували частину доходів у Monero.
- Coinsbuy тимчасово призупинив депозити та зняття коштів після інциденту, перш ніж послуги, за повідомленнями, відновилися через кілька годин.
- GoPlus заявив, що активність нагадувала скомпрометовані ключі гарячого гаманця або доступ адміністратора, хоча Coinsbuy це не підтвердив.
Потім зловмисник почав направляти частину вкрадених активів через біржі та до Monero, криптовалюти, орієнтованої на конфіденційність.
PeckShield повідомив, що гаманці "ймовірно втратили" близько 7,9 мільйона доларів, і простежив частину доходів через ChangeNOW, FixedFloat та BingX. Стрічка безпеки CertiK незалежно передала ту саму оцінку збитків та маршрути обміну. Точний вектор атаки публічно не встановлено.
Спустошення Coinsbuy поширилося на Ethereum та TRON
Specter ідентифікував дві адреси Ethereum та одну адресу TRON як місця призначення крадіжки. Переміщення між мережами свідчить про те, що зловмисник отримав доступ, здатний переміщувати активи більш ніж в одному ланцюгу, але це не встановлює, чи були скомпрометовані приватні ключі, облікові дані адміністратора чи інша частина інфраструктури Coinsbuy.
GoPlus Security заявив, що активність була "узгоджена з крадіжкою приватного ключа гарячого гаманця або привілеїв адміністратора". Це залишається оцінкою, а не підтвердженою першопричиною. Coinsbuy не опублікував технічний постмортем у публічній документації, переглянутій 10 серпня. Його останні видимі примітки до випуску датовані 31 липня.
Coinsbuy описує себе як бізнес-орієнтований криптоплатіжний сервіс, що пропонує обробку платежів, інфраструктуру гаманців та управління цифровими активами. Його офіційний сайт також рекламує обробку криптоплатежів та послуги гаманців для бізнесу.
Вкрадені кошти переміщені через біржі до Monero
Після спустошення зловмисник почав надсилати вкрадені активи через обмінні сервіси. Specter заявив, що кошти конвертувалися в Monero, тоді як PeckShield ідентифікував ChangeNOW, FixedFloat та BingX серед платформ, які отримали частини доходів.
Specter також заявив, що ChangeNOW допоміг заморозити шестизначну суму, перш ніж вона могла рухатися далі. ChangeNOW не опублікував окрему публічну заяву, що підтверджує точну заморожену суму в джерелах, переглянутих для цієї історії, тому сума залишається приписаною досліднику.
Шлях відмивання грошей нагадує схеми, які спостерігалися в інших великих крадіжках криптовалюти. У раніше розглянутій справі про повернення коштів слідчі допомогли заморозити близько 1,2 мільйона доларів, пов'язаних із вкраденими активами Бо Шена, після того як кошти пройшли через такі сервіси, як ChangeNOW. Окремо, крадіжка гаманця в січні включала конвертацію вкрадених біткоїнів і лайткоїнів у Monero зловмисниками.
Депозити та зняття коштів, за повідомленнями, відновлено
Coinsbuy призупинив депозити та зняття коштів після інциденту, а пізніше відновив їх, згідно з оновленням Specter та звітами, що посилаються на слідчого. Окреме повідомлення про інцидент, яке підтверджувало б часові рамки, не було видно в публічних примітках до випуску Coinsbuy на момент перевірки.
Також залишається незрозумілим із публічних розкриттів, чи складалися заявлені 7,9 мільйона доларів повністю з активів, що належать Coinsbuy, клієнтських коштів чи їх комбінації. Жодного розбиття збитків клієнтів або плану відшкодування не було видно в матеріалах компанії, переглянутих 10 серпня.
Ця різниця має значення, оскільки відновлення сервісу не означає, що розслідування завершено або що всі збитки відшкодовано. Наразі підтверджена публічна картина обмежується заявленим виведенням коштів, ідентифікованими адресами крадіжки, відмиванням коштів та частковим замороженням.
Цей випадок доповнює насичений подіями рік у сфері безпеки. TRM Labs зафіксувала 207 зломів та близько 972 мільйонів доларів вкрадених коштів протягом першої половини 2026 року, згідно з даними, наведеними в нещодавньому звіті про втрати галузі. Інфраструктурні та операційні збої становили більшу частину втраченої вартості за цей період.
Що буде далі
Наступним суттєвим оновленням стане звіт Coinsbuy про інцидент, у якому буде визначено вектор атаки, постраждалі активи, остаточні збитки та будь-який вплив на клієнтів. Підтвердження від ChangeNOW або інших бірж також може прояснити, скільки було заморожено та чи можна повернути додаткові кошти.
Наразі заяви про те, як зловмисник отримав доступ, слід розглядати з обережністю. Дослідники безпеки продовжують відстежувати вказані адреси Ethereum та TRON, але перехід у Monero може ускладнити подальше відстеження після того, як кошти залишать прозорі блокчейни.
