Coinsbuy a pierdut 8,07 milioane de dolari, iar cauza atacului rămâne nedeclarată

Duminică, 9 august, în jurul orei 13:00 UTC, cinci dolari în USDT au plecat dintr-un portofel controlat de procesatorul de plăți Coinsbuy către o adresă proaspăt creată pe rețeaua TRON.

Suma era neînsemnată, cât un comision de rețea într-o zi aglomerată. Rolul ei nu era să valoreze ceva, ci să confirme ceva. Cine trimisese tranzacția voia să afle dacă autorizarea funcționează.

A funcționat. În mai puțin de o oră, opt portofele Coinsbuy de pe TRON au rămas fără aproximativ 6,04 milioane de USDT. În paralel, pe Ethereum, alte trei adrese au pierdut 1,89 milioane de USDT și 77 ETH, convertiți imediat prin 1inch într-un portofel deschis în aceeași zi.

Reconstrucția publicată ulterior de cercetătorul on-chain BlockWatchdog a ajuns la 8,07 milioane de dolari și unsprezece portofele afectate, pe două rețele diferite, într-un interval în care majoritatea echipelor de securitate din industrie erau în weekend.

Ce s-a furat și pe unde au plecat banii se poate verifica astăzi de oricine, tranzacție cu tranzacție. Cum a obținut atacatorul dreptul de a semna acele retrageri nu se știe nici acum, la aproape o săptămână după eveniment. Iar între cele două se află partea cu adevărat instructivă a acestei povești.

Cum a decurs atacul din 9 august?

Tranzacția de test care a deschis fereastra

Transferul de 5 USDT spune mai mult decât pare. Nimeni nu testează o adresă pe care o controlează de multă vreme. Un test se face atunci când ai obținut recent o capacitate nouă și vrei să verifici dacă sistemul o acceptă, înainte să o folosești pentru sume care declanșează alarme. Faptul că testul a fost urmat în câteva minute de retrageri de milioane arată un atacator cu infrastructura de spălare deja pregătită, care aștepta doar confirmarea că poate mișca fonduri.

Golirea celor opt portofele de pe TRON s-a făcut către o singură adresă colectoare, TVpX9xCzrj6KHeNhhDJoqjzEqFMxdgubGR, care primise inițial și cei cinci dolari de test, apoi 6.037.005 USDT în fereastra atacului. Pe Ethereum, rolul echivalent l-a jucat adresa 0x4d1bEF2Fe998B3E3C4029EF9EA6A0534d95661d3.

Legătura dintre TRON și Ethereum

La prima vedere, cele două operațiuni puteau fi coincidențe. Rețele diferite, adrese diferite, mecanisme de semnare diferite. Legătura a apărut însă chiar în datele de tranzacție. Portofelul de swap de pe Ethereum, activ pentru prima dată exact în fereastra atacului, a primit plata dinspre contractul de payout al serviciului cross-chain Bridgers. Cu alte cuvinte, valoare plecată de pe TRON a reapărut pe Ethereum, în același portofel folosit de atacator.

Detaliul acesta a schimbat încadrarea incidentului. Nu vorbim despre două probleme paralele care s-au nimerit în aceeași oră, ci despre o singură operațiune coordonată, executată de cineva care avea acces simultan la ambele picioare ale infrastructurii. CoinDesk a documentat aceeași conexiune în relatarea sa din 10 august.

Suspendarea și repornirea serviciilor

Coinsbuy a oprit depunerile și retragerile la scurt timp după ce mișcările au devenit vizibile, o decizie corectă și previzibilă. Neobișnuită a fost viteza cu care serviciile au fost repornite, în aceeași zi, cu mult înainte ca cineva din afara companiei să aibă o explicație pentru ce se întâmplase.

O platformă care nu știe pe unde a intrat atacatorul nu are, în principiu, cum să știe dacă intrarea a fost închisă. Repornirea rapidă implică o încredere pe care documentele publice de până acum nu o justifică. Se poate ca echipa să fi identificat imediat vectorul și să fi ales să nu îl comunice. Se poate, la fel de bine, să fi presupus că vectorul a fost neutralizat. Diferența dintre cele două variante e chiar informația care lipsește din discuție.

Realimentarea portofelelor golite, detaliul care schimbă interpretarea

La zece până la douăsprezece ore după golire, adrese de finanțare asociate cu Coinsbuy au început să trimită bani înapoi. Șapte depuneri, 3,93 milioane de dolari, către zece dintre portofelele pe care atacatorul tocmai le curățase. Șapte dintre sume reproduceau pierderea corespunzătoare cu o abatere de sub 0,05 la sută. Fondurile au rămas acolo.

Gestul e greu de împăcat cu ipoteza pe care mulți au formulat-o reflex, aceea a cheilor private compromise. Nimeni nu alimentează cu sume de ordinul milioanelor un portofel despre care crede că se află încă sub controlul altcuiva. O adresă este, în esență, o cheie. Dacă cheia a fost copiată, adresa e pierdută definitiv, iar orice depunere ulterioară devine un al doilea cadou făcut atacatorului.

BlockWatchdog a formulat observația fără să o transforme într-o concluzie tehnică. Comportamentul are sens doar dacă echipa nu crede că au fost expuse cheile private. Ceea ce a fost preluat pe 9 august s-ar afla, în această citire, deasupra cheilor, în stratul care decide cine are dreptul să inițieze o retragere.

Nuanța contează enorm. Realimentarea nu dovedește că semnătura a rămas curată. Dovedește doar că firma a acționat ca și cum ar fi rămas curată. Între o certitudine tehnică și o convingere operațională se întinde o distanță pe care niciun bloc de pe TRON sau Ethereum nu o poate acoperi.

Ce a comunicat Coinsbuy și ce a lăsat nespus?

Pe 10 august, compania a publicat un comunicat oficial pe propriul blog. Textul confirmă retrageri neautorizate din mai multe portofele ale platformei, afirmă că problema a fost izolată, că toate fondurile clienților afectați au fost acoperite integral din rezervele companiei și că platforma funcționează normal. Anunță o investigație în desfășurare și precizează explicit că detaliile tehnice nu vor fi făcute publice în această etapă, pentru a nu afecta integritatea procesului. Se promite o nouă actualizare după finalizarea și verificarea concluziilor.

La data la care scriem, acel comunicat rămâne ultima poziție publică a companiei. Nu a apărut o explicație tehnică. Nu a fost numit sistemul afectat. Nu s-a publicat un raport de remediere sau o cifră finală a pierderii operaționale. Coinsbuy nu a confirmat și nici nu a contestat suma de 8,07 milioane de dolari calculată de cercetătorii independenți.

Ce a apărut, în schimb, e o recompensă. O sută de mii de dolari pentru informații care duc la identificarea celor responsabili, plus un bonus nespecificat pentru sprijin în recuperarea fondurilor, cu o adresă de contact la departamentul de conformitate. Este singura cifră din întreaga poveste stabilită de companie, nu calculată de altcineva din exterior.

Alegerea spune ceva despre priorități. Coinsbuy a pus un preț pe identificarea persoanelor. Nu a pus niciun preț pe explicarea modului în care au intrat.

O companie discretă și înainte de incident

Coinsbuy este un procesator de plăți crypto orientat către clienți business, activ din 2019 și înregistrat în Panama. Deservește comercianți, platforme de schimb și companii care au nevoie de infrastructură de încasări și plăți în active digitale. Documentația pentru dezvoltatori se actualizează constant, semn al unui produs viu, cu clienți reali în spate.

Prezența publică este însă aproape inexistentă. Contul oficial de pe X e inactiv din 2020, a observat GoPlus Security în primele ore ale incidentului. Pentru o firmă care ține bani ai altor firme, absența unui canal public funcțional în ziua unei crize nu e un detaliu cosmetic. Comunicarea s-a rezumat la o pagină de blog pe care trebuie să o cauți intenționat.

În registrele PitchBook, singurul investitor listat este B2Broker VC, brațul de venture al grupului B2Broker, cu o participație minoritară intrată în 2021 și prezentată atunci ca o completare a ecosistemului propriu. Nimic din informația publică nu leagă această relație de investiție de evenimentele din 9 august.

Golul de autorizare, punctul în care dovada on-chain se oprește

Aici ajungem la miezul problemei, iar el e mai puțin spectaculos și mai neliniștitor decât suma furată.

Nu a fost identificat niciun apel vulnerabil de contract. Nu a fost identificată nicio schimbare de rol privilegiat. În tot materialul public disponibil nu apare nicio defecțiune la nivel de protocol care să fie indicată drept cauză.

Ethereum și TRON au acceptat fiecare retragere conform propriilor reguli de autorizare. Din punctul de vedere al rețelelor, nimic anormal nu s-a întâmplat. Tranzacțiile erau valide, semnăturile erau corecte, iar blockchainul și-a făcut treaba exact cum a fost proiectat să o facă. Cine a inițiat acele retrageri avea autoritatea de a o face, iar acea autoritate a ajuns pe ambele rețele sub forma unor tranzacții pe care validatorii le-au tratat ca legitime.

Ce nu se vede este cum a ajuns atacatorul să dețină autoritatea respectivă.

GoPlus Security a oferit o încadrare, nu un verdict, spunând că tiparul observat se potrivește cu o compromitere de cheie privată de hot wallet sau de privilegii administrative. BlockWatchdog a livrat reconstrucția cea mai detaliată, până la nivel de dolar și de portofel, apoi s-a oprit deliberat exact în punctul în care ar fi trebuit să numească o cauză. Decrypt a preluat aceeași reținere în relatarea sa.

Modelul de securitate descris în documentația publică

Documentația pentru clienți a Coinsbuy descrie un model de securitate cu mai multe straturi. Un rol numit Withdrawal with approval permite crearea unei plăți care intră într-o stare de așteptare până când un aprobator autorizat o validează sau o anulează, rol distinct de accesul Read only.

Separat, plățile care depășesc praguri configurate la nivel de portofel cer aprobarea proprietarului, indiferent de rolul care le-a inițiat, iar proprietarul stabilește atât pragul, cât și numărul și identitatea aprobatorilor. Cererile către API se autentifică prin tokenuri de acces de tip Bearer, iar accesul poate fi restricționat prin liste albe de adrese IP, separat pentru interfața web și pentru API. Platforma descrie și o funcție de colectare pe bază de smart contract, care adună automat tokenuri din mai multe adrese de depunere într-un portofel unic.

Nimic din toate acestea nu constituie o probă despre ce s-a întâmplat pe 9 august. Documentația descrie suprafața de control pe care Coinsbuy o oferă clienților săi. Dacă aceleași mecanisme guvernau portofelele efectiv golite rămâne o informație nepublică.

Mai multe explicații rămân compatibile cu tiparul observat. Un sistem de administrare a portofelelor compromis ar produce acest rezultat. La fel un serviciu de semnare preluat, un cont de operator cu privilegii extinse, o credențială de API scursă sau un flux de aprobare a plăților ocolit. Fiecare dintre aceste variante ar face portofelele Coinsbuy de pe două rețele să emită tranzacții pe care rețelele le validează fără ezitare.

Erorile de aprobare reparate pe 29 iulie

O modificare documentată trebuie pusă pe masă aici, cu grija de a nu o transforma în ceva ce nu este. Pe 29 iulie, cu unsprezece zile înainte de furt, Coinsbuy a remediat în aceeași zi două probleme legate de aprobarea plăților, potrivit propriilor note de versiune. Prima permitea ca acțiunile de aprobare și anulare să rămână disponibile după expirarea termenului de anulare automată. A doua făcea posibil ca o cerere de aprobare expirată să redevină activă dacă intervalul de anulare automată era mărit. Corecția a fixat termenul limită în momentul creării cererii.

E vorba despre o singură zi de note de versiune, nu despre un tipar întins pe săptămâni. Nu stabilește nicio legătură cu furtul din 9 august, iar nicio sursă publică nu a formulat una. Ce arată totuși este că stratul de aprobare a plăților fusese, cu puțin timp înainte, o zonă în care apăreau erori de logică. Atât și nimic mai mult.

Formularea susținută de dovezi rămâne mai îngustă decât ar vrea multă lume. A spune că fluxul de aprobare al Coinsbuy a cedat ar depăși ce se știe. A spune că a fost compromis sau abuzat un strat comun de autoritate asupra retragerilor e afirmația pe care datele o susțin. Dacă acel strat a fost cheia propriu-zisă, o credențială de API, un cont privilegiat, un proces de aprobare, un sistem de semnare sau un operator intern rămâne nedeterminat public.

Traseul fondurilor furate, de la FixedFloat spre Monero

Circulația banilor e partea rezolvată a acestei povești, iar contrastul cu ceața din jurul cauzei sare în ochi.

Aproximativ 79 la sută din pradă, în jur de 6,34 milioane de dolari, a trecut prin serviciul de schimb instant FixedFloat. Pe TRON au fost trimise 5.936.900 USDT în depuneri repetate de câte 100.000 de dolari, prin circa cincizeci de adrese intermediare de unică folosință, fiecare prealimentată cu vreo 1,5 USDT pentru comisioane. Pe Ethereum au mai plecat 210,8 ETH pe aceeași rută. Separat, 150 ETH, în jur de 288.000 de dolari la prețul din ziua incidentului, au fost direcționați prin ChangeNOW. PeckShield a menționat și BingX printre serviciile identificate în traseul de spălare. O parte din valoare a fost împinsă în cele din urmă către Monero.

ChangeNOW a înghețat o sumă de ordinul sutelor de mii de dolari, după ce a fost contactat de echipa Specter, cea care a semnalat prima incidentul public. Nici ChangeNOW, nici Coinsbuy nu au publicat o contabilitate la nivel de tranzacție a fondurilor blocate sau a soartei lor ulterioare.

Cât valorează, de fapt, o înghețare de fonduri?

Aici apare o limită pe care publicul o subestimează frecvent. O înghețare funcționează doar dacă serviciul identifică depunerea la timp, mai deține control asupra unei valori care nu a fost deja schimbată sau retrasă și decide să acționeze. Trei condiții, toate obligatorii, toate dependente de viteza cu care cineva din exterior ridică telefonul.

Odată ce banii intră într-un cont controlat de o platformă de schimb sau se transformă în Monero, urma publică se oprește. Conversia, transferurile interne și destinația finală nu mai apar în niciun explorator de blockchain. Din acest motiv, sumele recuperate în astfel de incidente rămân, de regulă, o fracțiune modestă din total.

Ce a rămas nemișcat pe Ethereum?

La ultima verificare din 9 august, 282,2 ETH stăteau nemișcați pe cinci adrese. De atunci, trei dintre ele au trimis fondurile mai departe, în transferuri care păstrau aproape integral sumele, semn al unei simple mutări, nu al unei spălări suplimentare. Aproximativ 110,2 ETH rămân, la această verificare, în adresele inițiale.

Un detaliu de atribuire s-a schimbat pe parcurs și cere o corecție. Trei adrese de pe Ethereum și una de pe TRON au fost etichetate inițial drept portofele-victimă. Atribuirea ulterioară, coroborată cu etichetele Arkham Intel, le identifică drept infrastructură de hot wallet a Coinsbuy, adresa TRON fiind raportată ca portofelul principal fierbinte al platformei. Compania nu a confirmat public proprietatea sau rolul operațional al niciunei adrese.

De ce un procesator de plăți B2B ridică o miză diferită?

Când o platformă de schimb pentru retail pierde bani, victimele sunt utilizatori individuali, iar reacția publică vine imediat și zgomotos. Când pierde un procesator business, lanțul e mai lung și mult mai tăcut. Clienții sunt companii, iar clienții acelor companii sunt oameni care nici măcar nu știu că numele Coinsbuy există.

Un procesator multi-chain acumulează, prin însăși natura serviciului, o suprafață de atac care crește cu fiecare rețea adăugată. Mai multe integrări înseamnă mai multe contracte, mai multe hot walleturi, mai multe sisteme de semnare care trebuie să reziste simultan. Un singur punct slab în stratul care le orchestrează pe toate expune fonduri de pe întregul stack, exact tiparul observat pe 9 august.

Cercetătorii citați de Crowdfund Insider au notat că logica internă a platformei pentru transferuri, echilibrarea nodurilor și consolidarea fondurilor este complexă, ceea ce creează suprafețe operaționale de risc ridicat. Observația caracterizează arhitectura, nu formulează o acuzație, iar nicio cauză definitivă nu a fost confirmată de companie.

Pentru firmele care folosesc astfel de servicii, întrebările practice sunt destul de simple și rareori puse înainte de semnătură. Cine deține cheile și unde sunt semnate tranzacțiile. Câți oameni pot aproba singuri o retragere peste un anumit prag. Ce se întâmplă cu fondurile aflate în tranzit dacă furnizorul suspendă brusc operațiunile. În cât timp, contractual, e obligat furnizorul să anunțe un incident de securitate. Coinsbuy a acoperit pierderea din rezerve proprii, ceea ce a protejat clienții în acest caz. Următorul procesator care trece prin ceva similar s-ar putea să nu aibă rezerve suficiente.

Anul în care numărul atacurilor s-a dublat, iar pierderile nu

Contextul mai larg ajută la calibrarea reacției. TRM Labs a înregistrat 207 atacuri în prima jumătate a lui 2026, de peste două ori mai multe decât cele 83 raportate în aceeași perioadă a anului precedent. Creșterea numărului nu s-a tradus însă într-o creștere proporțională a pierderilor totale.

Datele DeFiLlama arată protocoale DeFi care au pierdut peste 840 de milioane de dolari în primele cinci luni ale anului, iar totalul furat la nivel de sector depășise 972 de milioane de dolari spre finalul lui iulie. Cazul Coinsbuy a fost cel mai mare incident raportat în august până la momentul respectiv.

Tiparul care se conturează e al unor atacuri mai numeroase, mai mici și mai puțin spectaculoase din punct de vedere tehnic. Exploatările de contract inteligent, cele care produceau titluri în 2021 și 2022, cedează teren în fața compromiterii de credențiale, chei și conturi privilegiate. În iulie, atacatorii au luat 24 de milioane de dolari de la AFX Trade pe Arbitrum, exploatând o punte operată de o platformă descentralizată, iar Ostium a pierdut 18 milioane după compromiterea unei chei de oracle. Niciunul dintre aceste cazuri nu a implicat un bug de logică în cod.

Asta e schimbarea de fond pe care industria o digeră greu. Securitatea unui sistem crypto matur depinde tot mai puțin de calitatea contractelor și tot mai mult de igiena operațională, de cine are acces la ce și de cât de repede se observă că un acces a fost preluat de altcineva.

Limita a ceea ce un blockchain poate demonstra

Transparența on-chain încurajează un tip aparte de eroare de raționament. Pentru că vedem fiecare transfer, avem impresia că vedem tot. Cazurile DxSale și TesseraDAO, analizate de rekt.news în paralel cu incidentul Coinsbuy, ilustrează aceeași limită sub forme diferite. La DxSale, evenimentul central se reduce la un apel transferOwnership vizibil pe BscScan. La TesseraDAO, la o emisiune de 99 de milioane de tokenuri. În ambele situații, tranzacția arată ce a făcut atacatorul, fără să dovedească prin ea însăși cum a obținut dreptul de a o face.

Coinsbuy diferă nu fiindcă transferurile ar fi ascunse, ci fiindcă întrebarea nerezolvată se află în amonte de transferuri. Dacă defecțiunea s-a produs într-un strat de API sau într-un flux de aprobare, blockchainul va arăta în continuare retragerile rezultate și nu va conține niciun echivalent public al motivului pentru care au fost autorizate.

Proba decisivă stă, cel mai probabil, într-un log intern de API, într-o înregistrare de aprobare, într-un audit trail al sistemului de administrare a portofelelor sau într-un jurnal de evenimente al serviciului de semnare. Toate aparțin companiei, iar compania a spus că nu le publică până la finalizarea investigației.

Cine poate cere socoteală când singura probă e la victimă?

Situația creează un dezechilibru pe care industria nu l-a rezolvat. Cercetătorii independenți au reconstruit furtul până la ultimul dolar înainte ca firma să spună un cuvânt. Ce mai rămânea de adăugat pentru declarația victimei era exact partea pe care nimeni din exterior nu o poate produce, iar aceea a lipsit.

Coinsbuy nu are, deocamdată, o obligație de raportare publică echivalentă cu cea a unei instituții financiare reglementate dintr-o jurisdicție cu regim strict. E înregistrată în Panama, deservește clienți business și a acoperit pierderea din rezerve, ceea ce închide, din perspectiva ei, problema imediată. Presiunea pentru transparență vine din reputație, iar reputația se repară mai ieftin cu o realimentare de portofele decât cu un raport post-mortem care admite o slăbiciune arhitecturală.

Întrebarea rămâne deschisă și pentru clienții actuali, și pentru cei care evaluează în aceste zile furnizori de infrastructură de plăți. Dacă realimentarea portofelelor a fost mai simplă decât explicarea a ceea ce nu a funcționat în ele, ce anume mai investighează investigația.

Întrebări frecvente despre incidentul Coinsbuy