Miten hyökkäys tapahtui: koordinoidut tyhjennykset useissa lohkoketjuissa

Hyökkäys alkoi 5 USDT:n testitapahtumalla TRON-verkossa noin kello 13.00 UTC elokuun 9. päivänä . Noin tunnin kuluessa hyökkääjä tyhjensi noin 6,04 miljoonaa dollaria vakaita kolikoita (stablecoineja) kahdeksasta TRON-lompakosta; suurin yksittäinen tapahtuma oli noin 3,5 miljoonaa USDT:tä . Samaan aikaan kolmesta Ethereum-lompakosta tyhjennettiin 1,89 miljoonaa USDT:tä ja 77 ETH:ta, jotka vaihdettiin nopeasti ETH:ksi 1inch-aggregaattoria käyttäen samana päivänä luodun lompakon kautta .

Kyky tyhjentää lompakot kahdessa eri lohkoketjussa nopeasti peräkkäin viittaa vahvasti siihen, että hyökkääjä oli saanut haltuunsa yksityisavaimet tai murtautunut Coinsbuyn lompakkoinfrastruktuuriin – kyseessä ei ollut älysopimushyökkäys . Lohkoketjujen tallenteet osoittavat, että ketjuja yhdisti Bridgers-ristikkäisketjuvaihdin, jonka Ethereum-maksusopimus vastaanotti varoja TRON-puolelta .

Rahanpesu: Monero lopullisena päämääränä

Hyökkääjä toimi nopeasti peittääkseen jälkensä. Varastetut varat ohjattiin kolmen pörssin – ChangeNOW'n, FixedFloat'n ja BingX:n – kautta ja muutettiin sitten Monero (XMR) -kryptovaluutaksi, joka tekee jäljittämisestä huomattavasti vaikeampaa . Tämä rahanpesuprosessi kulutti tutkijoiden aikaikkunan, joka olisi voinut mahdollistaa laajemman jäädytyksen .

Havainnointi ja reagointi

Specter havaitsi ensimmäisenä epäilyttävät rahavirrat ja julkaisi hälytyksen Telegram-kanavallaan noin kello 13.00 UTC elokuun 9. päivänä . PeckShield vahvisti tietomurron itsenäisesti ja jäljitti varastettujen varojen liikkeet tunnistaen kolme käytettyä pörssiä .

Coinsbuyn toimet:

• Talletukset ja nostot keskeytettiin väliaikaisesti heti tietomurron jälkeen .
• Palvelut palautettiin ja yhtiö ilmoitti kattavansa kaikki asiakkaiden menetykset omista varoistaan .
• Tarjottiin 100 000 dollarin palkkio tiedoista, jotka johtavat tekijöiden tunnistamiseen .

ChangeNOW auttoi jäädyttämään kuusinumeroisen osan varastetuista varoista, vaikka suurin osa varoista oli jo siirretty eteenpäin .

Laajempi konteksti: vuosi 2026 hakkerointien ennätysvuonna

Coinsbuy-tapaus ei ollut yksittäinen sattuma. Vuoden 2026 ensimmäisellä puoliskolla kryptoturvayritykset raportoivat jo ennätyksellisistä hakkerointimääristä:

• Blockaid raportoi yli miljardin dollarin tappioista 212 vahvistetussa tapahtumassa vuoden 2026 ensimmäisellä puoliskolla ja kutsui sitä ”kaikkien aikojen hakeutumisrikkaimmaksi puolivuotiskaudeksi” tapahtumamäärällä mitattuna .
• TRM Labs laski 207 erillistä hakkerointia vuoden 2026 ensimmäisellä puoliskolla, korkeimman määrän se on koskaan kuuden kuukauden aikana tallentanut, ja kokonaistappiot olivat noin 972 miljoonaa dollaria .
• CertiK raportoi 1,315 miljardia dollaria varastetun 344 lohkoketjutapahtumassa vuoden 2026 ensimmäisellä puoliskolla, mikä on 28 prosenttia enemmän kuin edellisenä vuonna, kun 1,5 miljardin dollarin Bybit-hyökkäys jätetään huomiotta .

Pohjois-Koreaan yhdistetyt hakkerit, erityisesti Lazarus Group, olivat vastuussa noin 55 prosentista varastetusta arvosta, ja infrastruktuuri- ja toimitusketjuhyökkäykset – eivät älysopimusten virheet – nousivat hallitsevaksi vektoriksi . Yksityisavaimen väärinkäyttö yksinään aiheutti noin 790 miljoonan dollarin tappiot vuoden 2026 ensimmäisellä puoliskolla .

Koko vuoden 2026 tappiot olivat REKT:n seurannan mukaan noin 1,2 miljardia dollaria 276 tapahtumassa, ja Coldcard-laitelomppakon hyökkäys yksinään muodosti noin 10 prosenttia kokonaismäärästä .

Keskeiset huomiot

• Hyökkäysvektori: Koordinoitu moniketjutyhjennys, todennäköisesti vaarantuneista yksityisavaimista tai lompakkoinfrastruktuurista, ei älysopimushyökkäys.
• Laajuus: Noin 7,9 miljoonaa dollaria varastettu (jotkut analyytikot raportoivat 8,07 miljoonaa dollaria) Ethereum- ja TRON-ketjuissa .
• Rahanpesu: Varat ohjattiin ChangeNOW'n, FixedFloat'n ja BingX:n kautta ja muutettiin sitten Monero (XMR) -kryptovaluutaksi jäljittämisen vaikeuttamiseksi.
• Osittainen takaisinperintä: ChangeNOW jäädytti kuusinumeroisen summan; Coinsbuy korvasi asiakkaiden menetykset omista varoistaan.
• Ennätysvuosi: Hyökkäys sopii vuoden 2026 trendiin, jossa hakkerointitapahtumat ovat ennätyksellisen yleisiä ja infrastruktuuri- ja yksityisavainkompromissit ovat korvanneet älysopimushyökkäykset ensisijaisena uhkana.

Miten hyökkäys tapahtui: koordinoidut tyhjennykset useissa lohkoketjuissa

Hyökkäys alkoi 5 USDT:n testitapahtumalla TRON-verkossa noin kello 13.00 UTC elokuun 9. päivänä . Noin tunnin kuluessa hyökkääjä tyhjensi noin 6,04 miljoonaa dollaria vakaita kolikoita (stablecoineja) kahdeksasta TRON-lompakosta; suurin yksittäinen tapahtuma oli noin 3,5 miljoonaa USDT:tä . Samaan aikaan kolmesta Ethereum-lompakosta tyhjennettiin 1,89 miljoonaa USDT:tä ja 77 ETH:ta, jotka vaihdettiin nopeasti ETH:ksi 1inch-aggregaattoria käyttäen samana päivänä luodun lompakon kautta .

Kyky tyhjentää lompakot kahdessa eri lohkoketjussa nopeasti peräkkäin viittaa vahvasti siihen, että hyökkääjä oli saanut haltuunsa yksityisavaimet tai murtautunut Coinsbuyn lompakkoinfrastruktuuriin – kyseessä ei ollut älysopimushyökkäys . Lohkoketjujen tallenteet osoittavat, että ketjuja yhdisti Bridgers-ristikkäisketjuvaihdin, jonka Ethereum-maksusopimus vastaanotti varoja TRON-puolelta .

Rahanpesu: Monero lopullisena päämääränä

Hyökkääjä toimi nopeasti peittääkseen jälkensä. Varastetut varat ohjattiin kolmen pörssin – ChangeNOW'n, FixedFloat'n ja BingX:n – kautta ja muutettiin sitten Monero (XMR) -kryptovaluutaksi, joka tekee jäljittämisestä huomattavasti vaikeampaa . Tämä rahanpesuprosessi kulutti tutkijoiden aikaikkunan, joka olisi voinut mahdollistaa laajemman jäädytyksen .

Havainnointi ja reagointi

Specter havaitsi ensimmäisenä epäilyttävät rahavirrat ja julkaisi hälytyksen Telegram-kanavallaan noin kello 13.00 UTC elokuun 9. päivänä . PeckShield vahvisti tietomurron itsenäisesti ja jäljitti varastettujen varojen liikkeet tunnistaen kolme käytettyä pörssiä .

Coinsbuyn toimet:

• Talletukset ja nostot keskeytettiin väliaikaisesti heti tietomurron jälkeen .
• Palvelut palautettiin ja yhtiö ilmoitti kattavansa kaikki asiakkaiden menetykset omista varoistaan .
• Tarjottiin 100 000 dollarin palkkio tiedoista, jotka johtavat tekijöiden tunnistamiseen .

ChangeNOW auttoi jäädyttämään kuusinumeroisen osan varastetuista varoista, vaikka suurin osa varoista oli jo siirretty eteenpäin .

Laajempi konteksti: vuosi 2026 hakkerointien ennätysvuonna

Coinsbuy-tapaus ei ollut yksittäinen sattuma. Vuoden 2026 ensimmäisellä puoliskolla kryptoturvayritykset raportoivat jo ennätyksellisistä hakkerointimääristä:

• Blockaid raportoi yli miljardin dollarin tappioista 212 vahvistetussa tapahtumassa vuoden 2026 ensimmäisellä puoliskolla ja kutsui sitä ”kaikkien aikojen hakeutumisrikkaimmaksi puolivuotiskaudeksi” tapahtumamäärällä mitattuna .
• TRM Labs laski 207 erillistä hakkerointia vuoden 2026 ensimmäisellä puoliskolla, korkeimman määrän se on koskaan kuuden kuukauden aikana tallentanut, ja kokonaistappiot olivat noin 972 miljoonaa dollaria .
• CertiK raportoi 1,315 miljardia dollaria varastetun 344 lohkoketjutapahtumassa vuoden 2026 ensimmäisellä puoliskolla, mikä on 28 prosenttia enemmän kuin edellisenä vuonna, kun 1,5 miljardin dollarin Bybit-hyökkäys jätetään huomiotta .

Pohjois-Koreaan yhdistetyt hakkerit, erityisesti Lazarus Group, olivat vastuussa noin 55 prosentista varastetusta arvosta, ja infrastruktuuri- ja toimitusketjuhyökkäykset – eivät älysopimusten virheet – nousivat hallitsevaksi vektoriksi . Yksityisavaimen väärinkäyttö yksinään aiheutti noin 790 miljoonan dollarin tappiot vuoden 2026 ensimmäisellä puoliskolla .

Koko vuoden 2026 tappiot olivat REKT:n seurannan mukaan noin 1,2 miljardia dollaria 276 tapahtumassa, ja Coldcard-laitelomppakon hyökkäys yksinään muodosti noin 10 prosenttia kokonaismäärästä .

Keskeiset huomiot

• Hyökkäysvektori: Koordinoitu moniketjutyhjennys, todennäköisesti vaarantuneista yksityisavaimista tai lompakkoinfrastruktuurista, ei älysopimushyökkäys.
• Laajuus: Noin 7,9 miljoonaa dollaria varastettu (jotkut analyytikot raportoivat 8,07 miljoonaa dollaria) Ethereum- ja TRON-ketjuissa .
• Rahanpesu: Varat ohjattiin ChangeNOW'n, FixedFloat'n ja BingX:n kautta ja muutettiin sitten Monero (XMR) -kryptovaluutaksi jäljittämisen vaikeuttamiseksi.
• Osittainen takaisinperintä: ChangeNOW jäädytti kuusinumeroisen summan; Coinsbuy korvasi asiakkaiden menetykset omista varoistaan.
• Ennätysvuosi: Hyökkäys sopii vuoden 2026 trendiin, jossa hakkerointitapahtumat ovat ennätyksellisen yleisiä ja infrastruktuuri- ja yksityisavainkompromissit ovat korvanneet älysopimushyökkäykset ensisijaisena uhkana.