Jak przebiegł atak: skoordynowany drenaż wielołańcuchowy

Atak rozpoczął się od testowej transakcji o wartości 5 USDT w sieci TRON około 13:00 UTC 9 sierpnia . W ciągu około godziny haker opróżnił osiem portfeli TRON z około 6,04 mln USD w stablecoinach, z czego największa pojedyncza transakcja wyniosła około 3,5 mln USD USDT . Równocześnie trzy portfele na Ethereum straciły 1,89 mln USDT i 77 ETH, które szybko wymieniono na ETH za pośrednictwem agregatora 1inch przy użyciu portfela utworzonego tego samego dnia .

Możliwość dostępu i opróżnienia portfeli w dwóch różnych blockchainach w krótkim odstępie czasu zdecydowanie sugeruje, że atakujący przejął klucze prywatne lub naruszył infrastrukturę portfeli Coinsbuy, a nie wykorzystał luki w smart kontraktach . Dane on-chain pokazują, że oba łańcuchy zostały połączone za pomocą mostka cross-chain Bridgers, którego kontrakt wypłat na Ethereum otrzymywał środki ze strony TRON .

Pranie pieniędzy: Monero jako cel końcowy

Atakujący działał szybko, aby zatrzeć ślady. Skradzione środki zostały przesłane przez trzy giełdy — ChangeNOW, FixedFloat i BingX — a następnie zamienione na Monero (XMR), kryptowalutę nastawioną na prywatność, która znacznie utrudnia analizę śledczą . Ta sekwencja prania wykorzystała okno czasowe, które mogłoby umożliwić większe zamrożenie środków .

Wykrycie i reakcja

Firma monitorująca on-chain Specter jako pierwsza zauważyła podejrzane wypływy i opublikowała alert na swoim kanale Telegram około 13:00 UTC 9 sierpnia . Firma bezpieczeństwa blockchainowego PeckShield niezależnie potwierdziła naruszenie, prześledziła przepływ skradzionych środków i zidentyfikowała trzy zaangażowane giełdy .

Reakcja Coinsbuy obejmowała:

• Tymczasowe wstrzymanie depozytów i wypłat natychmiast po włamaniu .
• Przywrócenie usług i zobowiązanie do pokrycia strat wszystkich dotkniętych klientów z własnych rezerw .
• Oferowanie nagrody w wysokości 100 000 USD za informacje prowadzące do identyfikacji sprawców .

Giełda ChangeNOW pomogła zamrozić sześciocyfrową część skradzionych aktywów, chociaż zdecydowana większość środków została już przelana .

Szerszy kontekst: rok 2026 jako rekordowy rok dla krypto-ataków

Incydent z Coinsbuy nie był odosobnionym zdarzeniem. W pierwszej połowie 2026 roku firmy zajmujące się bezpieczeństwem kryptowalut już raportowały rekordową liczbę włamań:

• Blockaid poinformowała o stratach przekraczających 1 miliard USD w 212 zweryfikowanych incydentach w pierwszej połowie 2026 roku, nazywając to „najbardziej zhakowanym półroczem w historii” pod względem liczby incydentów .
• TRM Labs naliczyła 207 oddzielnych włamań w pierwszej połowie 2026 roku, co jest najwyższą liczbą odnotowaną w jakimkolwiek sześciomiesięcznym okresie, z łącznymi stratami około 972 mln USD .
• CertiK podała, że skradziono 1,315 mld USD w 344 incydentach on-chain w pierwszej połowie 2026 roku, odnotowując 28% wzrost strat netto w porównaniu z poprzednim rokiem, po wyłączeniu włamania na giełdę Bybit o wartości 1,5 mld USD .

Hakerzy powiązani z Koreą Północną, w szczególności grupa Lazarus, byli odpowiedzialni za około 55% skradzionej wartości, a ataki na infrastrukturę i łańcuch dostaw – a nie luki w smart kontraktach – stały się dominującym wektorem . Nadużycie uprzywilejowanych kluczy odpowiadało za straty w wysokości około 790 mln USD w pierwszej połowie 2026 roku .

Według trackera REKT, łączne straty w całym 2026 roku osiągnęły około 1,2 mld USD w 276 incydentach, a samo włamanie na portfel sprzętowy Coldcard stanowiło około 10% tej sumy .

Kluczowe wnioski

• Wektor ataku: Skoordynowany drenaż wielołańcuchowy, prawdopodobnie w wyniku przejęcia kluczy prywatnych lub naruszenia infrastruktury portfela, a nie exploitów smart kontraktów.
• Skala: ~7,9 mln USD (niektórzy analitycy podają 8,07 mln USD) skradzione z Ethereum i TRON .
• Pranie: Środki przesłane przez ChangeNOW, FixedFloat i BingX, a następnie zamienione na Monero (XMR) w celu utrudnienia śledzenia.
• Częściowe odzyskanie: ChangeNOW zamroziła sześciocyfrową sumę; Coinsbuy pokrył straty klientów z własnych rezerw.
• Rekordowy rok: Atak wpisuje się w wzorzec z 2026 roku – rekordową częstotliwość włamań, gdzie ataki na infrastrukturę i kompromitacja kluczy prywatnych zastąpiły exploity smart kontraktów jako główne zagrożenie.

Jak przebiegł atak: skoordynowany drenaż wielołańcuchowy

Atak rozpoczął się od testowej transakcji o wartości 5 USDT w sieci TRON około 13:00 UTC 9 sierpnia . W ciągu około godziny haker opróżnił osiem portfeli TRON z około 6,04 mln USD w stablecoinach, z czego największa pojedyncza transakcja wyniosła około 3,5 mln USD USDT . Równocześnie trzy portfele na Ethereum straciły 1,89 mln USDT i 77 ETH, które szybko wymieniono na ETH za pośrednictwem agregatora 1inch przy użyciu portfela utworzonego tego samego dnia .

Możliwość dostępu i opróżnienia portfeli w dwóch różnych blockchainach w krótkim odstępie czasu zdecydowanie sugeruje, że atakujący przejął klucze prywatne lub naruszył infrastrukturę portfeli Coinsbuy, a nie wykorzystał luki w smart kontraktach . Dane on-chain pokazują, że oba łańcuchy zostały połączone za pomocą mostka cross-chain Bridgers, którego kontrakt wypłat na Ethereum otrzymywał środki ze strony TRON .

Pranie pieniędzy: Monero jako cel końcowy

Atakujący działał szybko, aby zatrzeć ślady. Skradzione środki zostały przesłane przez trzy giełdy — ChangeNOW, FixedFloat i BingX — a następnie zamienione na Monero (XMR), kryptowalutę nastawioną na prywatność, która znacznie utrudnia analizę śledczą . Ta sekwencja prania wykorzystała okno czasowe, które mogłoby umożliwić większe zamrożenie środków .

Wykrycie i reakcja

Firma monitorująca on-chain Specter jako pierwsza zauważyła podejrzane wypływy i opublikowała alert na swoim kanale Telegram około 13:00 UTC 9 sierpnia . Firma bezpieczeństwa blockchainowego PeckShield niezależnie potwierdziła naruszenie, prześledziła przepływ skradzionych środków i zidentyfikowała trzy zaangażowane giełdy .

Reakcja Coinsbuy obejmowała:

• Tymczasowe wstrzymanie depozytów i wypłat natychmiast po włamaniu .
• Przywrócenie usług i zobowiązanie do pokrycia strat wszystkich dotkniętych klientów z własnych rezerw .
• Oferowanie nagrody w wysokości 100 000 USD za informacje prowadzące do identyfikacji sprawców .

Giełda ChangeNOW pomogła zamrozić sześciocyfrową część skradzionych aktywów, chociaż zdecydowana większość środków została już przelana .

Szerszy kontekst: rok 2026 jako rekordowy rok dla krypto-ataków

Incydent z Coinsbuy nie był odosobnionym zdarzeniem. W pierwszej połowie 2026 roku firmy zajmujące się bezpieczeństwem kryptowalut już raportowały rekordową liczbę włamań:

• Blockaid poinformowała o stratach przekraczających 1 miliard USD w 212 zweryfikowanych incydentach w pierwszej połowie 2026 roku, nazywając to „najbardziej zhakowanym półroczem w historii” pod względem liczby incydentów .
• TRM Labs naliczyła 207 oddzielnych włamań w pierwszej połowie 2026 roku, co jest najwyższą liczbą odnotowaną w jakimkolwiek sześciomiesięcznym okresie, z łącznymi stratami około 972 mln USD .
• CertiK podała, że skradziono 1,315 mld USD w 344 incydentach on-chain w pierwszej połowie 2026 roku, odnotowując 28% wzrost strat netto w porównaniu z poprzednim rokiem, po wyłączeniu włamania na giełdę Bybit o wartości 1,5 mld USD .

Hakerzy powiązani z Koreą Północną, w szczególności grupa Lazarus, byli odpowiedzialni za około 55% skradzionej wartości, a ataki na infrastrukturę i łańcuch dostaw – a nie luki w smart kontraktach – stały się dominującym wektorem . Nadużycie uprzywilejowanych kluczy odpowiadało za straty w wysokości około 790 mln USD w pierwszej połowie 2026 roku .

Według trackera REKT, łączne straty w całym 2026 roku osiągnęły około 1,2 mld USD w 276 incydentach, a samo włamanie na portfel sprzętowy Coldcard stanowiło około 10% tej sumy .

Kluczowe wnioski

• Wektor ataku: Skoordynowany drenaż wielołańcuchowy, prawdopodobnie w wyniku przejęcia kluczy prywatnych lub naruszenia infrastruktury portfela, a nie exploitów smart kontraktów.
• Skala: ~7,9 mln USD (niektórzy analitycy podają 8,07 mln USD) skradzione z Ethereum i TRON .
• Pranie: Środki przesłane przez ChangeNOW, FixedFloat i BingX, a następnie zamienione na Monero (XMR) w celu utrudnienia śledzenia.
• Częściowe odzyskanie: ChangeNOW zamroziła sześciocyfrową sumę; Coinsbuy pokrył straty klientów z własnych rezerw.
• Rekordowy rok: Atak wpisuje się w wzorzec z 2026 roku – rekordową częstotliwość włamań, gdzie ataki na infrastrukturę i kompromitacja kluczy prywatnych zastąpiły exploity smart kontraktów jako główne zagrożenie.