Kradzieże z kont Coinbase: co wiadomo o sprawcy, który przesyła środki przez Tornado Cash

To ważne rozróżnienie. W przypadku exploitu atakujący zwykle wykorzystuje lukę w logice aplikacji działającej w blockchainie. W oszustwie polegającym na podszywaniu się pod konsultanta pomocy technicznej sprawca nakłania właściciela konta do autoryzowania lub umożliwienia transferu. Słabym punktem stają się zaufanie i decyzje użytkownika — często dodatkowo osłabiane przez przekonujące dane osobowe oraz presję czasu.

Co pokazują szacunki strat — i czego nie dowodzą

W lutym 2025 r. śledczy blockchainowi ZachXBT i tanuki42 informowali o stratach użytkowników Coinbase przekraczających 65 mln dolarów w grudniu 2024 r. i styczniu 2025 r. Oszacowali również, że roczne straty wynikające z podobnych oszustw socjotechnicznych mogą przekraczać 300 mln dolarów. Ich analiza obejmowała zgłoszenia ofiar i aktywność w łańcuchu bloków, ale autorzy zaznaczali, że dostępne dane były niepełne.

W późniejszym raporcie około 45 mln dolarów dodatkowych strat użytkowników Coinbase przypisano skoordynowanym oszustwom socjotechnicznym w ciągu jednego tygodnia maja 2025 r. Liczby te wspierają tezę o trwałej i zorganizowanej kampanii. Same w sobie nie dowodzą jednak, że wszystkie opisane incydenty były kontrolowane przez operatora tego samego portfela.

W jednym ze śledztw zidentyfikowano również adres konsolidacyjny powiązany z ponad 25 ofiarami. Takie skupiska pomagają łączyć transakcje i rozpoznawać wzorzec kampanii, ale nadal są jedynie pośrednim dowodem atrybucji, a nie potwierdzeniem tożsamości sprawcy w świecie rzeczywistym.

Incydent z danymi klientów Coinbase to ważny kontekst, ale nie dowód wspólnego sprawcy

W maju 2025 r. Coinbase ujawnił, że przestępcy przekupywali część zagranicznych pracowników i współpracowników obsługi klienta, aby uzyskać informacje o klientach. Dane miały pomóc w podszywaniu się pod Coinbase i nakłanianiu użytkowników do przesyłania kryptowalut. Giełda oszacowała koszty działań naprawczych oraz dobrowolnych rekompensat dla klientów na 180–400 mln dolarów.

Taki incydent mógł sprawić, że oszustwa związane z fałszywą pomocą techniczną stały się bardziej wiarygodne. Rozmówca znający imię klienta, jego dane kontaktowe lub informacje o koncie może łatwiej wzbudzić zaufanie. Dostępne tutaj publiczne dowody nie potwierdzają jednak, że osoby stojące za wyłudzeniem danych od pracowników były tymi samymi osobami, które kontrolowały portfele powiązane z szerszą serią kradzieży. Obie sprawy należy więc traktować jako powiązany kontekst ryzyka, a nie jako potwierdzoną wspólną atrybucję.

Wiadomość „L bozo” była prowokacją, nie dowodem tożsamości

W maju 2025 r. portfel powiązany przez śledczych z kampaniami phishingowymi wymierzonymi w użytkowników Coinbase miał zamienić około 42,5 mln dolarów w bitcoinie na ether za pośrednictwem THORChain. Z portfela wysłano również do ZachXBT wiadomość zapisaną w blockchainie: „L bozo”.

Wiadomość pokazywała, że osoba kontrolująca portfel była gotowa publicznie prowokować śledczego. Nie ujawniła jednak jej nazwiska, lokalizacji ani związku ze wszystkimi pozostałymi kradzieżami przypisywanymi tej kampanii.

Dlaczego Tornado Cash utrudnia odzyskanie środków

Mikser kryptowalutowy ma za zadanie utrudniać bezpośrednie połączenie wpłaty z późniejszą wypłatą. Tornado Cash wykorzystuje wspólne pule oraz mechanizmy zwiększające prywatność transakcji, dzięki czemu środki wpłacone z jednego adresu mogą zostać później wypłacone na inny. Blockchain nie staje się przez to niewidoczny, ale prosty ślad „wpłata–wypłata” jest znacznie trudniejszy do odtworzenia.

Śledczy nadal mogą analizować czas transakcji, ich kwoty, powtarzalne zachowania portfeli, mosty między sieciami, zdecentralizowane giełdy oraz adresy wpłat na scentralizowanych giełdach. Takie dane mogą pomóc stworzyć korelację. Korelacja nie zawsze wystarcza jednak do wskazania osoby stojącej za wypłatą ani do przekonania giełdy lub sądu, aby zamroziły środki. Im dłużej aktywa pozostają poza możliwym do prześledzenia depozytariuszem, tym trudniejsze może być ich odzyskanie.

Co zmienił wyrok w sprawie Tornado Cash z listopada 2024 r.

26 listopada 2024 r. Sąd Apelacyjny dla Piątego Okręgu w USA uznał, że amerykański urząd OFAC, czyli Biuro Kontroli Aktywów Zagranicznych przy Departamencie Skarbu, przekroczył swoje ustawowe uprawnienia, nakładając sankcje na niezmienne smart kontrakty Tornado Cash. Sąd uznał, że kontraktów tych nie można było uznać za „własność”, którą da się zablokować na podstawie odpowiednich przepisów.

Wyrok dotyczył podstawy prawnej sankcji, a nie legalności kradzieży czy prania pieniędzy. Nie zniósł potencjalnej odpowiedzialności karnej, nie zagwarantował odzyskania środków przesłanych przez mikser i nie oznacza, że aktywność związana z Tornado Cash jest automatycznie dowodem niewinności albo winy. Orzeczenie oraz kwestia wykorzystania protokołu do przestępstw to odrębne zagadnienia.

Najważniejsza lekcja dla użytkowników Coinbase

Najtrwalszym zagrożeniem w tej sprawie nie wydaje się tajemnicza awaria infrastruktury blockchain Coinbase. Jest nim przekonująca osoba po drugiej stronie telefonu, wiadomości lub linku.

Użytkownicy powinni:

• traktować niezamówione telefony, SMS-y i wiadomości prywatne rzekomo od pomocy Coinbase jako potencjalnie niebezpieczne;
• nigdy nie ujawniać hasła, frazy seed, kodu jednorazowego ani klucza prywatnego;
• nie udzielać zdalnego dostępu do urządzenia na prośbę rzekomego konsultanta;
• nie klikać linków do pomocy przesłanych w nieoczekiwanych wiadomościach;
• otwierać oficjalną aplikację Coinbase albo samodzielnie wpisywać adres strony firmy, zanim poszukają pomocy;
• w przypadku kradzieży zachować wiadomości, numery telefonów, adresy portfeli i identyfikatory transakcji oraz niezwłocznie zgłosić incydent.

Sierpniowy transfer pokazuje, że środki powiązane z opisywaną kampanią nadal mogą pozostawać aktywne. Szerszy wniosek jest jednak prostszy: socjotechnika może przełamać nawet silne zabezpieczenia techniczne, jeśli napastnik skutecznie nakłoni prawowitego użytkownika do autoryzowania transferu.