Slik utspant angrepet seg: Et koordinert tømming på tvers av blokkjeder

Angrepet begynte med en testtransaksjon på 5 USDT på TRON-nettverket rundt klokken 13:00 UTC 9. august . I løpet av omtrent en time tømte angriperen åtte TRON-lommebøker for omtrent 6,04 millioner dollar i stablecoins, hvor den største enkelttransaksjonen var på omtrent 3,5 millioner dollar USDT . Samtidig ble tre Ethereum-lommebøker tømt for 1,89 millioner dollar USDT og 77 ETH, som raskt ble byttet til ETH via 1inch-aggregatoren gjennom en lommebok opprettet samme dag .

Muligheten til å få tilgang til og tømme lommebøker på to forskjellige blokkjeder i rask rekkefølge tyder sterkt på at angriperen hadde kompromittert private nøkler eller brutt seg inn i Coinsbuys lommebokinfrastruktur – ikke et smartkontrakt-utnyttelse . Blokkjedeoppføringer viser at de to kjedene var forbundet via den tverrkjede-veksleren Bridgers, hvis Ethereum-utbetalingskontrakt mottok midler fra TRON-siden .

Hvitvaskingen: Monero som sluttmål

Angriperen handlet raskt for å skjule sporene. De stjålne midlene ble sendt gjennom tre byrser – ChangeNOW, FixedFloat og BingX – og deretter konvertert til Monero (XMR), en personvernfokusert kryptovaluta som gjør rettsmedisinsk sporing betydelig vanskeligere . Denne hvitvaskingssekvensen forbruket det tidsvinduet som kunne ha muliggjort en større frysing av midlene .

Oppdagelse og respons

Nettverksovervåkingsfirmaet Specter oppdaget først mistenkelige utstrømninger og publiserte et varsel på sin Telegram-kanal omtrent klokken 13:00 UTC 9. august . Blokkjedesikkerhetsfirmaet PeckShield bekreftet uavhengig bruddet og sporet strømmen av stjålne midler, og identifiserte de tre involverte byrsene .

Coinsbuys respons inkluderte:

• Midlertidig stans av innskudd og uttak umiddelbart etter bruddet .
• Gjenopptakelse av tjenester og en uttalelse om at de ville dekke alle berørte kunders tap fra egne reserver .
• Tilbud om en dusør på 100 000 dollar for informasjon som fører til identifikasjon av de ansvarlige .

ChangeNOW bidro til å fryse en sekssifret del av de stjålne midlene, men det store flertallet av pengene var allerede flyttet .

Den større sammenhengen: 2026 som et rekordår for kryptohack

Coinsbuy-hendelsen var ikke en isolert hendelse. Allerede i første halvdel av 2026 rapporterte sikkerhetsfirmaer om rekordmange hack:

• Blockaid rapporterte tap på over 1 milliard dollar fordelt på 212 verifiserte hendelser i H1 2026, og kalte det det "mest hackede halvåret noensinne" målt i antall hendelser .
• TRM Labs talte 207 separate hack i H1 2026, det høyeste antallet de hadde registrert i en seksmånedersperiode, med totale tap på omtrent 972 millioner dollar .
• CertiK rapporterte at 1,315 milliarder dollar ble stjålet på tvers av 344 kjedehendelser i H1 2026, og bemerket en 28% økning i nettotap sammenlignet med året før da Bybit-hendelsen på 1,5 milliarder dollar ble ekskludert .

Nordkorea-tilknyttede hackere, spesielt Lazarus-gruppen, var ansvarlige for omtrent 55% av den stjålne verdien, og infrastruktur-/forsyningskjedeangrep – ikke smartkontrakt-feil – fremsto som den dominerende vektoren . Misbruk av privilegerte nøkler alene utgjorde omtrent 790 millioner dollar i tap i H1 2026 .

Hele 2026 endte med tap på omtrent 1,2 milliarder dollar fordelt på 276 hendelser, ifølge REKTs sporing, hvor Coldcard-maskinvarelommebok-bruddet alene utgjorde omtrent 10% av totalen .

Hovedpunkter

• Angrepsvektor: Et koordinert tømming på tvers av blokkjeder, sannsynligvis fra kompromitterte private nøkler eller lommebokinfrastruktur, ikke et smartkontrakt-utnyttelse.
• Omfang: ~7,9 millioner dollar stjålet (noen analytikere rapporterer 8,07 millioner dollar) på tvers av Ethereum og TRON .
• Hvitvasking: Midlene ble sendt gjennom ChangeNOW, FixedFloat og BingX, deretter konvertert til Monero (XMR) for å motstå sporing.
• Delvis gjenvinning: ChangeNOW frøs et sekssifret beløp; Coinsbuy dekket kundenes tap fra egne reserver.
• Rekordår: Angrepet passer inn i et mønster fra 2026 med rekordhøy hyppighet av hack, der infrastruktur- og privatnøkkelkompromitteringer erstatter smartkontrakt-utnyttelser som den primære trusselen.

Slik utspant angrepet seg: Et koordinert tømming på tvers av blokkjeder

Angrepet begynte med en testtransaksjon på 5 USDT på TRON-nettverket rundt klokken 13:00 UTC 9. august . I løpet av omtrent en time tømte angriperen åtte TRON-lommebøker for omtrent 6,04 millioner dollar i stablecoins, hvor den største enkelttransaksjonen var på omtrent 3,5 millioner dollar USDT . Samtidig ble tre Ethereum-lommebøker tømt for 1,89 millioner dollar USDT og 77 ETH, som raskt ble byttet til ETH via 1inch-aggregatoren gjennom en lommebok opprettet samme dag .

Muligheten til å få tilgang til og tømme lommebøker på to forskjellige blokkjeder i rask rekkefølge tyder sterkt på at angriperen hadde kompromittert private nøkler eller brutt seg inn i Coinsbuys lommebokinfrastruktur – ikke et smartkontrakt-utnyttelse . Blokkjedeoppføringer viser at de to kjedene var forbundet via den tverrkjede-veksleren Bridgers, hvis Ethereum-utbetalingskontrakt mottok midler fra TRON-siden .

Hvitvaskingen: Monero som sluttmål

Angriperen handlet raskt for å skjule sporene. De stjålne midlene ble sendt gjennom tre byrser – ChangeNOW, FixedFloat og BingX – og deretter konvertert til Monero (XMR), en personvernfokusert kryptovaluta som gjør rettsmedisinsk sporing betydelig vanskeligere . Denne hvitvaskingssekvensen forbruket det tidsvinduet som kunne ha muliggjort en større frysing av midlene .

Oppdagelse og respons

Nettverksovervåkingsfirmaet Specter oppdaget først mistenkelige utstrømninger og publiserte et varsel på sin Telegram-kanal omtrent klokken 13:00 UTC 9. august . Blokkjedesikkerhetsfirmaet PeckShield bekreftet uavhengig bruddet og sporet strømmen av stjålne midler, og identifiserte de tre involverte byrsene .

Coinsbuys respons inkluderte:

• Midlertidig stans av innskudd og uttak umiddelbart etter bruddet .
• Gjenopptakelse av tjenester og en uttalelse om at de ville dekke alle berørte kunders tap fra egne reserver .
• Tilbud om en dusør på 100 000 dollar for informasjon som fører til identifikasjon av de ansvarlige .

ChangeNOW bidro til å fryse en sekssifret del av de stjålne midlene, men det store flertallet av pengene var allerede flyttet .

Den større sammenhengen: 2026 som et rekordår for kryptohack

Coinsbuy-hendelsen var ikke en isolert hendelse. Allerede i første halvdel av 2026 rapporterte sikkerhetsfirmaer om rekordmange hack:

• Blockaid rapporterte tap på over 1 milliard dollar fordelt på 212 verifiserte hendelser i H1 2026, og kalte det det "mest hackede halvåret noensinne" målt i antall hendelser .
• TRM Labs talte 207 separate hack i H1 2026, det høyeste antallet de hadde registrert i en seksmånedersperiode, med totale tap på omtrent 972 millioner dollar .
• CertiK rapporterte at 1,315 milliarder dollar ble stjålet på tvers av 344 kjedehendelser i H1 2026, og bemerket en 28% økning i nettotap sammenlignet med året før da Bybit-hendelsen på 1,5 milliarder dollar ble ekskludert .

Nordkorea-tilknyttede hackere, spesielt Lazarus-gruppen, var ansvarlige for omtrent 55% av den stjålne verdien, og infrastruktur-/forsyningskjedeangrep – ikke smartkontrakt-feil – fremsto som den dominerende vektoren . Misbruk av privilegerte nøkler alene utgjorde omtrent 790 millioner dollar i tap i H1 2026 .

Hele 2026 endte med tap på omtrent 1,2 milliarder dollar fordelt på 276 hendelser, ifølge REKTs sporing, hvor Coldcard-maskinvarelommebok-bruddet alene utgjorde omtrent 10% av totalen .

Hovedpunkter

• Angrepsvektor: Et koordinert tømming på tvers av blokkjeder, sannsynligvis fra kompromitterte private nøkler eller lommebokinfrastruktur, ikke et smartkontrakt-utnyttelse.
• Omfang: ~7,9 millioner dollar stjålet (noen analytikere rapporterer 8,07 millioner dollar) på tvers av Ethereum og TRON .
• Hvitvasking: Midlene ble sendt gjennom ChangeNOW, FixedFloat og BingX, deretter konvertert til Monero (XMR) for å motstå sporing.
• Delvis gjenvinning: ChangeNOW frøs et sekssifret beløp; Coinsbuy dekket kundenes tap fra egne reserver.
• Rekordår: Angrepet passer inn i et mønster fra 2026 med rekordhøy hyppighet av hack, der infrastruktur- og privatnøkkelkompromitteringer erstatter smartkontrakt-utnyttelser som den primære trusselen.