Så genomfördes attacken: en samordnad tömning över två blockkedjor

Attacken inleddes med en testtransaktion på 5 USDT på TRON-nätverket runt 13:00 UTC den 9 augusti . Inom ungefär en timme tömde angriparen åtta TRON-plånböcker på cirka 6,04 miljoner dollar i stablecoins, där den enskilt största transaktionen uppgick till cirka 3,5 miljoner USDT . Samtidigt tömdes tre Ethereum-plånböcker på 1,89 miljoner USDT och 77 ETH, som snabbt växlades till ETH via aggregatorn 1inch genom en plånbok som skapats samma dag .

Förmågan att komma åt och tömma plånböcker på två olika blockkedjor i snabb följd tyder starkt på att angriparen hade komprometterat privata nycklar eller brutit sig in i Coinsbuys plånboksinfrastruktur – inte att det rörde sig om en så kallad smart kontrakt-exploit . Transaktionsdata visar att de två kedjorna kopplades samman via den cross-chain-baserade växlaren Bridgers, vars Ethereum-betalningskontrakt tog emot medel från TRON-sidan .

Pengarna tvättas: Monero som slutdestination

Angriparen agerade snabbt för att dölja spåren. De stulna medlen skickades via tre börser – ChangeNOW, FixedFloat och BingX – och konverterades därefter till Monero (XMR), en integritetsinriktad kryptovaluta som gör spårning avsevärt svårare . Denna tvättsekvens förbrukade det tidsfönster som utredarna annars hade kunnat använda för att frysa en större del av pengarna .

Upptäckt och åtgärder

Specter, ett företag som övervakar blockkedjor, flaggade först för misstänkta utflöden och publicerade en varning på sin Telegram-kanal cirka 13:00 UTC den 9 augusti . Säkerhetsföretaget PeckShield bekräftade intrånget och spårade de stulna medlen till de tre inblandade börserna .

Coinsbuys åtgärder:

• Tillfälligt stopp för insättningar och uttag omedelbart efter intrånget .
• Återställda tjänster och besked om att man skulle täcka alla drabbade kunders förluster ur egna medel .
• En belöning på 100 000 dollar utlystes för information som leder till att de ansvariga identifieras .

ChangeNOW hjälpte till att frysa en sexsiffrig del av de stulna tillgångarna, även om merparten redan hade flyttats .

Den bredare bilden: 2026 som ett rekordår för kryptohack

Coinsbuy-incidenten var inte ett isolerat fall. Under första halvåret 2026 rapporterade flera kryptosäkerhetsföretag om rekordmånga hack:

• Blockaid rapporterade förluster på över 1 miljard dollar vid 212 bekräftade incidenter under första halvåret 2026, och kallade perioden för den mest hackade någonsin .
• TRM Labs räknade 207 separata hack under samma period, det högsta antalet som noterats under ett halvår, med totala förluster på cirka 972 miljoner dollar .
• CertiK rapporterade att 1,315 miljarder dollar hade stulits vid 344 on-chain-incidenter under första halvåret 2026, en ökning med 28 procent jämfört med föregående år om man bortser från Bybit-exploiten på 1,5 miljarder dollar .

Nordkoreanska hackare, främst Lazarus-gruppen, stod för cirka 55 procent av det stulna värdet, och attacker mot infrastruktur och leveranskedjor – inte sårbarheter i smarta kontrakt – blev den dominerande attackvektorn . Missbruk av privilegierade nycklar orsakade ensamt förluster på cirka 790 miljoner dollar under första halvåret 2026 .

Under hela 2026 uppgick förlusterna till cirka 1,2 miljarder dollar vid 276 incidenter, enligt REKT:s statistik, där Coldcard-hacket mot hårdvaruplånböcker stod för cirka 10 procent av totalen .

Viktiga slutsatser

• Attackvektor: Samordnad tömning över två blockkedjor, troligen genom komprometterade privata nycklar eller plånboksinfrastruktur – inte en smart kontrakt-exploit.
• Omfattning: Cirka 7,9 miljoner dollar stulna (vissa analytiker rapporterar 8,07 miljoner dollar) från Ethereum och TRON .
• Tvättning: Medlen skickades via ChangeNOW, FixedFloat och BingX, och konverterades sedan till Monero (XMR) för att försvåra spårning.
• Delvis återhämtning: ChangeNOW fryste en sexsiffrig summa; Coinsbuy täckte kundförlusterna ur egna medel.
• Rekordår: Attacken passar in i mönstret för 2026 med rekordmånga hack, där infrastruktur- och nyckelkomprometteringar ersätter smarta kontrakt som det främsta hotet.

Så genomfördes attacken: en samordnad tömning över två blockkedjor

Attacken inleddes med en testtransaktion på 5 USDT på TRON-nätverket runt 13:00 UTC den 9 augusti . Inom ungefär en timme tömde angriparen åtta TRON-plånböcker på cirka 6,04 miljoner dollar i stablecoins, där den enskilt största transaktionen uppgick till cirka 3,5 miljoner USDT . Samtidigt tömdes tre Ethereum-plånböcker på 1,89 miljoner USDT och 77 ETH, som snabbt växlades till ETH via aggregatorn 1inch genom en plånbok som skapats samma dag .

Förmågan att komma åt och tömma plånböcker på två olika blockkedjor i snabb följd tyder starkt på att angriparen hade komprometterat privata nycklar eller brutit sig in i Coinsbuys plånboksinfrastruktur – inte att det rörde sig om en så kallad smart kontrakt-exploit . Transaktionsdata visar att de två kedjorna kopplades samman via den cross-chain-baserade växlaren Bridgers, vars Ethereum-betalningskontrakt tog emot medel från TRON-sidan .

Pengarna tvättas: Monero som slutdestination

Angriparen agerade snabbt för att dölja spåren. De stulna medlen skickades via tre börser – ChangeNOW, FixedFloat och BingX – och konverterades därefter till Monero (XMR), en integritetsinriktad kryptovaluta som gör spårning avsevärt svårare . Denna tvättsekvens förbrukade det tidsfönster som utredarna annars hade kunnat använda för att frysa en större del av pengarna .

Upptäckt och åtgärder

Specter, ett företag som övervakar blockkedjor, flaggade först för misstänkta utflöden och publicerade en varning på sin Telegram-kanal cirka 13:00 UTC den 9 augusti . Säkerhetsföretaget PeckShield bekräftade intrånget och spårade de stulna medlen till de tre inblandade börserna .

Coinsbuys åtgärder:

• Tillfälligt stopp för insättningar och uttag omedelbart efter intrånget .
• Återställda tjänster och besked om att man skulle täcka alla drabbade kunders förluster ur egna medel .
• En belöning på 100 000 dollar utlystes för information som leder till att de ansvariga identifieras .

ChangeNOW hjälpte till att frysa en sexsiffrig del av de stulna tillgångarna, även om merparten redan hade flyttats .

Den bredare bilden: 2026 som ett rekordår för kryptohack

Coinsbuy-incidenten var inte ett isolerat fall. Under första halvåret 2026 rapporterade flera kryptosäkerhetsföretag om rekordmånga hack:

• Blockaid rapporterade förluster på över 1 miljard dollar vid 212 bekräftade incidenter under första halvåret 2026, och kallade perioden för den mest hackade någonsin .
• TRM Labs räknade 207 separata hack under samma period, det högsta antalet som noterats under ett halvår, med totala förluster på cirka 972 miljoner dollar .
• CertiK rapporterade att 1,315 miljarder dollar hade stulits vid 344 on-chain-incidenter under första halvåret 2026, en ökning med 28 procent jämfört med föregående år om man bortser från Bybit-exploiten på 1,5 miljarder dollar .

Nordkoreanska hackare, främst Lazarus-gruppen, stod för cirka 55 procent av det stulna värdet, och attacker mot infrastruktur och leveranskedjor – inte sårbarheter i smarta kontrakt – blev den dominerande attackvektorn . Missbruk av privilegierade nycklar orsakade ensamt förluster på cirka 790 miljoner dollar under första halvåret 2026 .

Under hela 2026 uppgick förlusterna till cirka 1,2 miljarder dollar vid 276 incidenter, enligt REKT:s statistik, där Coldcard-hacket mot hårdvaruplånböcker stod för cirka 10 procent av totalen .

Viktiga slutsatser

• Attackvektor: Samordnad tömning över två blockkedjor, troligen genom komprometterade privata nycklar eller plånboksinfrastruktur – inte en smart kontrakt-exploit.
• Omfattning: Cirka 7,9 miljoner dollar stulna (vissa analytiker rapporterar 8,07 miljoner dollar) från Ethereum och TRON .
• Tvättning: Medlen skickades via ChangeNOW, FixedFloat och BingX, och konverterades sedan till Monero (XMR) för att försvåra spårning.
• Delvis återhämtning: ChangeNOW fryste en sexsiffrig summa; Coinsbuy täckte kundförlusterna ur egna medel.
• Rekordår: Attacken passar in i mönstret för 2026 med rekordmånga hack, där infrastruktur- och nyckelkomprometteringar ersätter smarta kontrakt som det främsta hotet.