and recovering crypto assets.
and recovery crypto assets.
to cryptocurrency.
to cryptocurrency.
for illicit funds.
for illicit funds.
и связей между кошельками.
и связей между кошельками.
с криптовалютой.
с криптовалютой.
За этими суммами стоит один повторяющийся способ атаки. Хакеры получают право подписи у людей и инфраструктуры, заранее проверяют маршрут малыми суммами и за минуты превращают замораживаемые активы в ETH или заем. Затем они выжидают от двух с половиной до пяти суток и уводят средства сериями транзакций, которые отправляют скрипты.
Блокировки сработали только там, где стейблкоины не успели обменять. У Binance заморожено и изъято 43%, у всех остальных крупных атак вместе — 6%.
Мы также нашли ошибку оператора: через Umbra и Stargate прошли 5 047 ETH, а копеечные остатки с адресов AFX, кражи 28 августа и Bitget ушли на один кошелек.
Граф 1 - Шесть крупных атак 2026 года
Содержание:
- Шесть крупных атак
- Подпись вместо уязвимости
- Как хакеры готовят атаку
- Как выводят: от первых минут до BTC
- Автоматизация вывода
- Что сработало против них
- Как связаны атаки
- IT-работники: другой поток денег
- Оценка ущерба
- Вывод
Шесть крупных атак
Шесть крупных атак
Дата, UTC | Цель и способ входа | Сумма | Что видно в блокчейне |
01.04, 16:05 | Drift. Подписанты мультисига заранее подписали транзакции durable nonce, после чего атакующий забрал права администратора | $295,71 млн | advanceNonce в 16:05:19, вывод 19 активов |
18.04, 17:35 | KelpDAO. Мост на одном верификаторе LayerZero принял поддельное сообщение и выпустил 116 500 rsETH | $293,72 млн | Перевод с адаптера 0x85d456b2dff1fd8245387c0bfb64dfb700e98ef3 |
22.07, 21:26 | AFX. Пять подписей семи почти равновесных валидаторов моста вывели 24 150 000 USDC | $24,15 млн | Подписи восстанавливаются из данных вызова |
28.08, 10:18 | Кошелек 0xa4cca98ea7a48223e135d77d889266c6de22c3ad: подписанные ключом кошелька переводы 10,19 млн USDC и 3,37 млн USDT, еще $4,43 млн в TRON | $18,00 млн | Переводы в 10:18:23 и 10:27:23 |
24.09, 18:31 | Bitget. Система кошельков получила ложные инструкции на вывод | $385,29 млн | Подписанные переводы в восьми сетях |
29.10, 20:20 | Binance. Вход через ноутбук DevOps-инженера и сервисный контейнер подписи | $6,41 млрд | 58 транзакций в 11 сетях, 50 авторизаций Binance 14 |
Подпись вместо уязвимости
Подпись вместо уязвимости
Во многих случаях удар приходился на ночь по Пхеньяну: 01:05 у Drift, 02:35 у KelpDAO, 03:31 у Bitget, 05:20 у Binance, 06:26 у AFX. Кража 28 августа началась в 19:18. Для жертв в разных часовых поясах это чаще всего конец рабочего дня или ночь.
Как хакеры готовят атаку
Как хакеры готовят атаку
KelpDAO | Binance | Drift | |
Адрес депозитов | 0x24ea3b6afa51dc28a9f4dc5b719593ca247208ab | 0x756014e45e210fbdd9998822941b3bb17248c1dd | адреса подготовки |
Депозиты | 11: 1 × 1 ETH и 10 × 0,1 ETH | 12: 1 × 1 ETH и 11 × 0,1 ETH | 35 на 117,8 ETH |
Последний депозит до удара | 10,5 часа | 2,9 часа | 22 суток |
Выводы на адреса дела | 10 на 1,87 ETH, последний за 3,9 часа | 6 на 1,48 ETH, последний за 5,4 часа | 7 на 20,41 ETH, последний за 50,6 часа |
Граф 2 - Подготовка газа для атаки на Binance
Атака | Проба | Основная операция |
KelpDAO | 16.04: 0,004 и 0,006 rsETH через тот же мост на 0x222e68aa6658a8067585f19ecca5440feaa8bb00; 17–18.04: залог и заем малыми суммами в Compound (0x08b8bae9962714b79c33ff205cd3501f98a8fda7) и Aave (0x5579d5ce84ff5adf5ec7b466d155735958f6902b) | 18.04: 53 000 rsETH в Aave через 3 мин 12 с после выпуска |
Drift | 24.03: 1 SOL на адрес атакующего | 01.04: вывод 19 активов |
AFX | CCTP 100 000 USDC | 5 млн USDC через 83 с |
Кража 28.08 | Umbra: 0,4 ETH за двое суток | 209 ETH |
Bitget | 0,84 ETH и 93 TRX | 7 131 ETH через 30 мин |
Binance | Контракты на своих кошельках: 13:51 и 16:20– 16:25, все с 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 | Тот же контракт 0x63e842b054bd624a465454d533c33f573e9c6fae в 20:20:59 |
Операторы работают по расписанию. В 540 транзакциях 42 адресов атакующего по десяти прошлым и нынешним кражам группы TraderTraitor, без недели после удара, 48% действий приходится на 16:00–21:00 по Пхеньяну. Суббота, воскресенье и понедельник вместе дают 10 %. В государственные праздники КНДР операций нет. После удара ритм становится круглосуточным: работу берут на себя скрипты.
Как выводят: от первых минут до BTC
Как выводят: от первых минут до BTC
Атака | Первая операция | Что сделано |
KelpDAO | 3 мин 12 с | Заем: 52 834,58 ETH в Aave, 13 573,45 WETH и 7 906,35 wstETH в Compound под залог rsETH |
Binance | 14 мин | UniswapX на 105 593 ETH; заем 19 762,41 ETH в Aave под 60 млн USDT; обмены на каждом новом адресе |
Кража 28.08 | 9 мин 36 с | Подписанные ордера, около 20 исполнений в одном блоке |
AFX | 12 мин 34 с до сбора | CCTP из Arbitrum в Ethereum, 8 продаж через UniswapX, 12 467,39 ETH |
Bitget | 29 мин после массового вывода | UniswapX, 1inch Fusion, MetaMask Swaps, сбор 22 320 ETH; XRP без обмена уходит в THORChain |
Drift | 108 мин | CCTP с Solana, обмены через CoW; всего собрано 130 258,6 ETH |
Граф 3 - Заем и вывод средств KelpDAO
Граф 4 - Сколько часов проходит от кражи до выхода ETH в THORChain
Атака | Межсетевые маршруты | Сокрытие |
KelpDAO | THORChain 71 204 ETH в 578 заявках, Across | Umbra: 5 разовых отправок на 297,8 ETH |
Drift | CCTP, deBridge, Chainfilp, CoW | Tornado: 765 депозитов на 73 690,2 ETH |
AFX | THORChain 11 090 ETH в 96 заявках, Relay, FixedFloat | Umbra и Stargate: 665 ETH |
Кража 28.08 | THORChain 1 338 ETH, Mayan, CoW | Umbra и Stargate: 844 ETH |
Bitget | THORChain (102,4 млн XRP и 27 946 ETH), Maya, Chainflip, Hyperliquid | Umbra и Stargate: 3 020 ETH; CoinJoin 566,7 BTC; ZEC в экранированном пуле 17527; пулы jUSDT и JWYT |
Binance | THORChain, Relay, Chainfilp, Jupiter с CCTP, NEAR | JustLend, 88 одноразовых адресов в TRON за 20 минут, нарезка BTC по 1 000 |
Автоматизация вывода
Автоматизация вывода
Атака | Серия | Ритм | Что повторяется |
Drift | 765 депозитов в Tornado, три серии примерно по 2 часа | медиана 24 с | Непрерывный nonce, один метод, порядок номиналов: 100, 10, 1, 0,1 ETH |
Bitget | 5 281 депозит XRP; 1 181 заявка ETH с 33 адресов | медиана 60 с | 0x8eec4bca3d6e119fbe1778a0eae6b78c36a754c9: 626 заявок за 21 час |
Binance | Более 2 000 заявок TRX, 1 620 за 31 октября | медиана 54 с | Шесть одинаковых команд sweep подряд; 88 адресов за 20 минут |
KelpDAO | 578 заявок за 43 часа | поток круглые сутки | 408 заявок с шести адресов напрямую в хранилища THORChain, в memo лимит цены |
AFX | 96 заявок за 8 часов; 63 перевода сборщика | 7 мин у отдельных адресов | Один сценарий на разные адреса |
Кража 28.08 | Сбор остатков со 150 адресов | 3 мин 36 с | Простые переводы ETH на один адрес |
Граф 5 - Ритм скриптовых серий в разных атаках
Расчетные адреса ведутся иначе. 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 за 6 часов 18 минут раздает газ по 0,1 ETH, принимает выручку через одноразовые адреса и раскладывает ее на новые кошельки. Десять кошельков Binance подключали к смарт-аккаунту по одному, раз в 14–34 минуты. Такой темп похож на ручную или полуавтоматическую работу.
Отмывание обходится дешево. По 2 257 свопам Binance через THORChain на $55,8 млн общая цена составила 0,50 %: ETH в BTC — 0,44 %, TRX в ETH — 0,23 %, TRX в BTC — 2,28 %. Для сети это заметный поток. 22 апреля на KelpDAO пришлось от 21 до 42 % суточного оборота THORChain, 29 сентября на Bitget — от 15 до 30 %, 31 октября на Binance — от 16 до 33 %. Диапазон связан с тем, что сеть считает обмен актива на актив двумя плечами.
Что сработало против них
Что сработало против них
Граф 6 - Сколько USDT оставалось доступно для заморозки у Binance
Другой способ остановки показал Arbitrum. Security Council дважды изымал средства атакующих транзакциями на уровне сети, без их ключей: 30 765,667 ETH с адреса атакующего KelpDAO 21 апреля, 8 425,998 ETH и 74,56 млн ARB с адреса атакующего Binance 30 октября. Через 4 часа после изъятия у KelpDAO начался вывод основной суммы из Ethereum. Общий получатель здесь отражает решение сети и связь между атакующими не показывает.
Как связаны атаки
Как связаны атаки
Граф 7 - Частные адреса, общие для разных атак
Звено | Что установлено | Связь |
Bitget и Binance | 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7: 30.10 пришли 8 выплат THORChain из BTC-ветки Bitget (349,46 ETH) и 7 из TRON-ветки Binance (37,58 ETH). Адрес выплаты задает отправитель | Сильная: один получатель, оборот 574,9 ETH |
AFX, кража 28.08, Bitget | 0xe92c98c57820ee9c5d685990249923c7f8dc2bb0: сбор остатков с адресов всех трех дел | Сильная: общее управление ключами в момент сбора |
AFX и Bitget | 0x989ca8568c0c636ca9e062f8ff0f74450e0a4cc5, 0xcbcfd64a96837d874943641fc9ba159c10d6cc80, 0xa0772d6e70d2c97cfb70628c7b00f666a6476feb: согласованные переводы с разницей 48 с и 2 мин 48 с; газ для AFX и выплата из XRP-ветки Bitget | Средняя: связь через расчетный контур |
KelpDAO и AFX | 0x9a5bf60ace778228cd9716aaba01090dd9048c6e: апрельские расчеты KelpDAO и июльский остаток AFX 0,024995 ETH | Слабая по адресу; подкреплена почерком |
KelpDAO и Binance | Подготовка газа и заем вместо продажи совпадают | Совпадение приемов |
Граф 8 - Маршрут Umbra и Stargate и общий сборщик остатков
Сами расчетные адреса тоже становятся мишенью. На 0x1510 сторонние боты выпускали поддельные токены с точными суммами его переводов и адресами-двойниками. Без отсева таких записей граф ложно соединяет все расчетные адреса между собой.
IT-работники: другой поток денег
IT-работники: другой поток денег
Один из сборщиков отправил 199 000 USDT на адрес, похожий на адрес 0x12ea80238c7d805d003ce793594e92d84a6f4e8d, после появления поддельных записей в истории своих переводов. Сверка 1 026 адресов этого контура с контрагентами пяти атак показала пересечение только на биржах, контрактах и сервисах аренды ресурсов.
Оценка ущерба
Оценка ущерба
Атака | Атаковано, млн $ | Заморожено и изъято | Вне блокировок |
Binance | 6 410,6 | 2 785,2 | 3 625,4 |
Bitget | 385,3 | 0,6 | 384,7 |
Drift | 295,7 | — | 295,7 |
KelpDAO | 293,7 | 71,2 | 222,5 |
AFX | 24,2 | — | 24,2 |
Кража 28 августа | 18,0 | — | 18,0 |
Остальные 32 эпизода | 178,4 | — | 178,4 |
Итого | 7 605,8 | 2 857,0 | 4 748,8 |
Граф 9 - Доля заблокированных средств по атакам
Вывод
Вывод
Почерк один. Вход через право подписи, проба механизма малой суммой, обмен без газа или заем в первые минуты, пауза 2,5–5 суток, скриптовый выход через THORChain. У KelpDAO и Binance совпадает еще и подготовка: около 2 ETH мелкими депозитами в Tornado. Сокрытие усложнялось в течение года: разовые отправки через Umbra у KelpDAO сменились пакетами Umbra и Stargate у AFX, кражи 28 августа и Bitget.
Пять атак связаны расчетными адресами: 0x9a5bf60ace778228cd9716aaba01090dd9048c6e, 0xe92c98c57820ee9c5d685990249923c7f8dc2bb0 и 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7. Сильнее всего связаны AFX, кража 28 августа, Bitget и Binance. Копеечные остатки стали самым заметным следом оператора за год.
