Як злам гарячих гаманців Triple-A перетворив $9,3 млн на $11,8 млн

Перший масштабний відтік Specter зафіксував у п’ятницю, 24 липня, о 17:18 за східним часом США . Така схема нагадує «криваву течу»: приватний ключ уже скомпрометовано, але гаманець залишається активним і автоматично втрачає кожне нове надходження.

Які мережі постраждали

За повідомленнями про інцидент, активи виводилися через сім блокчейн-мереж:

• Ethereum;
• TRON;
• Polygon;
• Arbitrum;
• Solana;
• The Open Network (TON);
• Bitcoin .

Мультичейн-структура атаки вимагала від зловмисника швидко обмінювати активи та використовувати кросчейн-мости. Водночас Bitcoin згадувався не в усіх повідомленнях, тому його роль могла бути опосередкованою або меншою частиною загальної суми .

Як викрадені кошти зібрали в одному місці

Атакер обмінював викрадені стейблкоїни на децентралізованих біржах, після чого переміщував активи через мости до Ethereum. Зрештою кошти консолідувалися на одній Ethereum-адресі, яка утримувала приблизно 5 227 ETH вартістю близько $9,73 млн на момент оцінки .

Для атак на гарячі гаманці це типовий підхід: активи з різних мереж переводять у один ліквідний актив і концентрують на одній адресі, щоб спростити подальше переміщення або приховування походження коштів .

Що заявила Triple-A

Triple-A підтвердила, що було скомпрометовано корпоративний казначейський гаманець, а не рахунки, на яких зберігалися кошти клієнтів . Компанія заявила, що:

• клієнтські кошти не постраждали;
• фінансові наслідки інциденту вона покриє самостійно;
• розслідування атаки триває .

Ключовим фактором стала сегрегація активів: кошти клієнтів зберігалися на окремих захищених рахунках і не були змішані з операційними казначейськими гаманцями, які зазнали компрометації . Водночас це твердження стосується саме клієнтських кастодіальних рахунків і не означає, що інфраструктура компанії загалом не постраждала.

Який регуляторний статус має Triple-A

Triple-A — сінгапурський платіжний шлюз для операцій із фіатними валютами та криптоактивами, заснований у 2020 році. Компанія має один із найширших у секторі криптоплатежів наборів дозволів:

• ліцензію Major Payment Institution (MPI) від Monetary Authority of Singapore (MAS) — центрального регулятора фінансового ринку Сінгапуру ;
• ліцензію Crypto-Asset Service Provider (CASP) у межах європейського регламенту MiCA, видану французьким AMF. Вона дає змогу надавати відповідні послуги у 30 державах ЄС та Європейської економічної зони ;
• попереднє принципове схвалення від дубайського регулятора віртуальних активів VARA для брокерсько-дилерських послуг .

У лютому 2026 року Triple-A також оголосила про партнерство з Mastercard для посилення інфраструктури транскордонних платежів .

Як ця атака вписується в картину криптовтрат 2026 року

Злам Triple-A стався на тлі рекордної або близької до рекордної кількості інцидентів у першій половині 2026 року. Різні дослідницькі компанії наводять різні оцінки через відмінності в методології підрахунку:

PeckShield назвала серед найпоширеніших напрямів атак вразливості кросчейн-мостів, помилки у смартконтрактах і компрометацію приватних ключів . Водночас TRM Labs зазначила, що операційні проблеми — зокрема слабке керування ключами, системами підпису та доступами — спричинили непропорційно велику частку збитків: близько 15% інцидентів припало приблизно на 76% викраденої вартості .

За даними Immunefi, загальні втрати за перше півріччя були меншими за $1 млрд — менш ніж половина від $2,3 млрд, викрадених за аналогічний період 2025 року. Проте 207 інцидентів стали найвищим показником за всю історію спостережень . Окремо повідомлялося, що групи, пов’язані з Північною Кореєю, могли бути відповідальними приблизно за $643 млн, або близько 66% загальних втрат .

Що це означає для криптосектору

Інцидент Triple-A показує, як зміщується фокус криптозлочинців. Цього разу йдеться не про помилку в логіці смартконтракту, а про компрометацію приватного ключа гарячого гаманця — елемента щоденної операційної інфраструктури.

Для регульованих платіжних компаній атака має подвійний урок. По-перше, розділення клієнтських і корпоративних активів справді може обмежити наслідки злому. По-друге, навіть наявність ліцензій не усуває ризиків, пов’язаних із гарячими гаманцями, ключами, системами підпису та привілейованим доступом.

Важливі застереження

• Оцінки фінальних збитків відрізняються: ончейн-відстеження Specter зупинилося на $11,8 млн, тоді як деякі медіа округлювали суму до $12 млн .
• Не всі звіти називали Bitcoin серед постраждалих мереж, тому його участь могла бути непрямою або незначною .
• Заява Triple-A про безпеку клієнтських коштів стосується окремих кастодіальних рахунків, відокремлених від скомпрометованих казначейських гаманців .