Jak útok probíhal: Koordinovaný cross-chain výběr

Útok začal zkušební transakcí 5 USDT na síti TRON kolem 13:00 UTC 9. srpna . Během zhruba jedné hodiny útočník vybral přibližně 6,04 milionu dolarů ve stablecoinech z osmi peněženek na TRONu, přičemž největší jednotlivá transakce činila asi 3,5 milionu USDT . Současně byly ze tří peněženek na Ethereu odčerpány prostředky v hodnotě 1,89 milionu USDT a 77 ETH, které útočník rychle směnil za ETH přes agregátor 1inch pomocí peněženky vytvořené ten samý den .

Schopnost přistupovat k peněženkám a vybírat z nich na dvou různých blockchainech v rychlém sledu silně naznačuje, že útočník získal privátní klíče nebo pronikl do infrastruktury peněženek Coinsbuy – nejednalo se o zneužití chyby v chytrém kontraktu . Záznamy na blockchainu ukazují, že obě sítě byly propojeny prostřednictvím cross-chain směnárny Bridgers, jejíž výplatní kontrakt na Ethereu obdržel prostředky z TRON strany .

Praní špinavých peněz: Monero jako konečný cíl

Útočník jednal rychle, aby zakryl stopy. Ukradené prostředky byly přesměrovány přes tři směnárny – ChangeNOW, FixedFloat a BingX – a poté převedeny na Monero (XMR), kryptoměnu zaměřenou na soukromí, která výrazně ztěžuje forenzní dohledávání . Tento proces praní spotřeboval časové okno, které by možná umožnilo rozsáhlejší zmrazení prostředků .

Detekce a reakce

Společnost pro monitorování blockchainu Specter jako první zaznamenala podezřelé odchozí transakce a zveřejnila varování na svém Telegram kanálu přibližně ve 13:00 UTC 9. srpna . Bezpečnostní firma PeckShield nezávisle potvrdila únik a vysledovala tok ukradených prostředků, přičemž identifikovala tři zúčastněné směnárny .

Reakce společnosti Coinsbuy zahrnovala:

• Dočasné pozastavení vkladů a výběrů ihned po incidentu .
• Obnovení služeb a prohlášení, že pokryje všechny postižené prostředky klientů z vlastních rezerv .
• Vypsání odměny 100 000 dolarů za informace vedoucí k identifikaci pachatelů .

ChangeNOW pomohla zmrazit část ukradených aktiv v řádu statisíců dolarů, i když naprostá většina prostředků již byla v té době přesunuta .

Širší kontext: Rok 2026 jako rekordní rok pro krypto hacky

Incident s Coinsbuy nebyl ojedinělý. V první polovině roku 2026 již bezpečnostní firmy hlásily rekordní počty hacků:

• Blockaid uvedl, že ztráty v první polovině roku 2026 přesáhly 1 miliardu dolarů ve 212 potvrzených incidentech, což označil za „nejhackovanější pololetí v historii" co do počtu incidentů .
• TRM Labs napočítal 207 samostatných hacků v H1 2026, což je nejvyšší počet, který kdy v jakémkoli šestiměsíčním období zaznamenal, s celkovými ztrátami přibližně 972 milionů dolarů .
• CertiK uvedl, že v H1 2026 bylo odcizeno 1,315 miliardy dolarů ve 344 on-chain incidentech, přičemž čisté ztráty vzrostly o 28 % ve srovnání s předchozím rokem (po odečtení 1,5miliardového exploit Bybit) .

Hackeři napojení na Severní Koreu, zejména skupina Lazarus, byli zodpovědní za přibližně 55 % odcizené hodnoty a útoky na infrastrukturu a dodavatelské řetězce – nikoli chyby v chytrých kontraktech – se staly dominantním vektorem útoků . Pouze zneužití privilegovaných klíčů mělo za následek ztráty ve výši přibližně 790 milionů dolarů v H1 2026 .

Celkové ztráty za celý rok 2026 dosáhly podle sledování REKT přibližně 1,2 miliardy dolarů ve 276 incidentech, přičemž samotný únik z hardwarové peněženky Coldcard tvořil asi 10 % z celkové částky .

Klíčové závěry

• Vektor útoku: Koordinovaný cross-chain výběr, pravděpodobně kvůli kompromitovaným privátním klíčům nebo infrastruktuře peněženek, nikoli zneužití chytrého kontraktu.
• Rozsah: Odcizeno ~7,9 milionu dolarů (někteří analytici uvádějí 8,07 milionu) na sítích Ethereum a TRON .
• Praní: Prostředky byly přesměrovány přes ChangeNOW, FixedFloat a BingX, poté převedeny na Monero (XMR), aby se ztížilo dohledávání.
• Částečné obnovení: ChangeNOW zmrazila částku v řádu statisíců dolarů; Coinsbuy pokryl ztráty klientů z vlastních rezerv.
• Rekordní rok: Útok zapadá do vzorce rekordního počtu hacků v roce 2026, kdy se útoky na infrastrukturu a kompromitace privátních klíčů staly primární hrozbou, nahrazující exploity chytrých kontraktů.

Jak útok probíhal: Koordinovaný cross-chain výběr

Útok začal zkušební transakcí 5 USDT na síti TRON kolem 13:00 UTC 9. srpna . Během zhruba jedné hodiny útočník vybral přibližně 6,04 milionu dolarů ve stablecoinech z osmi peněženek na TRONu, přičemž největší jednotlivá transakce činila asi 3,5 milionu USDT . Současně byly ze tří peněženek na Ethereu odčerpány prostředky v hodnotě 1,89 milionu USDT a 77 ETH, které útočník rychle směnil za ETH přes agregátor 1inch pomocí peněženky vytvořené ten samý den .

Schopnost přistupovat k peněženkám a vybírat z nich na dvou různých blockchainech v rychlém sledu silně naznačuje, že útočník získal privátní klíče nebo pronikl do infrastruktury peněženek Coinsbuy – nejednalo se o zneužití chyby v chytrém kontraktu . Záznamy na blockchainu ukazují, že obě sítě byly propojeny prostřednictvím cross-chain směnárny Bridgers, jejíž výplatní kontrakt na Ethereu obdržel prostředky z TRON strany .

Praní špinavých peněz: Monero jako konečný cíl

Útočník jednal rychle, aby zakryl stopy. Ukradené prostředky byly přesměrovány přes tři směnárny – ChangeNOW, FixedFloat a BingX – a poté převedeny na Monero (XMR), kryptoměnu zaměřenou na soukromí, která výrazně ztěžuje forenzní dohledávání . Tento proces praní spotřeboval časové okno, které by možná umožnilo rozsáhlejší zmrazení prostředků .

Detekce a reakce

Společnost pro monitorování blockchainu Specter jako první zaznamenala podezřelé odchozí transakce a zveřejnila varování na svém Telegram kanálu přibližně ve 13:00 UTC 9. srpna . Bezpečnostní firma PeckShield nezávisle potvrdila únik a vysledovala tok ukradených prostředků, přičemž identifikovala tři zúčastněné směnárny .

Reakce společnosti Coinsbuy zahrnovala:

• Dočasné pozastavení vkladů a výběrů ihned po incidentu .
• Obnovení služeb a prohlášení, že pokryje všechny postižené prostředky klientů z vlastních rezerv .
• Vypsání odměny 100 000 dolarů za informace vedoucí k identifikaci pachatelů .

ChangeNOW pomohla zmrazit část ukradených aktiv v řádu statisíců dolarů, i když naprostá většina prostředků již byla v té době přesunuta .

Širší kontext: Rok 2026 jako rekordní rok pro krypto hacky

Incident s Coinsbuy nebyl ojedinělý. V první polovině roku 2026 již bezpečnostní firmy hlásily rekordní počty hacků:

• Blockaid uvedl, že ztráty v první polovině roku 2026 přesáhly 1 miliardu dolarů ve 212 potvrzených incidentech, což označil za „nejhackovanější pololetí v historii" co do počtu incidentů .
• TRM Labs napočítal 207 samostatných hacků v H1 2026, což je nejvyšší počet, který kdy v jakémkoli šestiměsíčním období zaznamenal, s celkovými ztrátami přibližně 972 milionů dolarů .
• CertiK uvedl, že v H1 2026 bylo odcizeno 1,315 miliardy dolarů ve 344 on-chain incidentech, přičemž čisté ztráty vzrostly o 28 % ve srovnání s předchozím rokem (po odečtení 1,5miliardového exploit Bybit) .

Hackeři napojení na Severní Koreu, zejména skupina Lazarus, byli zodpovědní za přibližně 55 % odcizené hodnoty a útoky na infrastrukturu a dodavatelské řetězce – nikoli chyby v chytrých kontraktech – se staly dominantním vektorem útoků . Pouze zneužití privilegovaných klíčů mělo za následek ztráty ve výši přibližně 790 milionů dolarů v H1 2026 .

Celkové ztráty za celý rok 2026 dosáhly podle sledování REKT přibližně 1,2 miliardy dolarů ve 276 incidentech, přičemž samotný únik z hardwarové peněženky Coldcard tvořil asi 10 % z celkové částky .

Klíčové závěry

• Vektor útoku: Koordinovaný cross-chain výběr, pravděpodobně kvůli kompromitovaným privátním klíčům nebo infrastruktuře peněženek, nikoli zneužití chytrého kontraktu.
• Rozsah: Odcizeno ~7,9 milionu dolarů (někteří analytici uvádějí 8,07 milionu) na sítích Ethereum a TRON .
• Praní: Prostředky byly přesměrovány přes ChangeNOW, FixedFloat a BingX, poté převedeny na Monero (XMR), aby se ztížilo dohledávání.
• Částečné obnovení: ChangeNOW zmrazila částku v řádu statisíců dolarů; Coinsbuy pokryl ztráty klientů z vlastních rezerv.
• Rekordní rok: Útok zapadá do vzorce rekordního počtu hacků v roce 2026, kdy se útoky na infrastrukturu a kompromitace privátních klíčů staly primární hrozbou, nahrazující exploity chytrých kontraktů.