Расследование взлом кроссчейн-моста TeleSwap на $735 000, о котором предпочитают молчать

15 июля 2026 года с криптокошельков кросс-чейн моста TeleSwap начали пропадать деньги. Средства выводили на адрес, который не имел отношения к сервису. За пару часов на нем осело больше десяти биткоинов и десятки тысяч долларов в стейблкоинах. Кошелек самого TeleSwap, из которого шли платежи, опустел до нуля и перестал работать. Несмотря на это разработчики никак не отреагировали на инцидент, оставив пользователей в неведении.

Аналитики BitOK распутали схему, по которой работал преступник. Рассказываем, что произошло на самом деле и какой урок из этой истории стоит извлечь криптанам.

Атака началась днем 15 июля и развивалась стремительно. Первое, что бросается в глаза: почерк операции говорит не об ошибке в программе, а о том, что у злоумышленника оказались «ключи от кассы».

Заметка инвестигейтора: это не похоже на эксплуатацию уязвимости в смарт-контракте. Характер транзакций указывает на компрометацию приватного ключа, внутреннего сервера или подписывающей инфраструктуры TeleSwap.

Вот главное об атаке:

После операции 15 июля в 17:09 горячий кошелек TeleSwap полностью прекратил обрабатывать транзакции и остался с нулевым балансом.

Интересно! Последний пост в X проекта датирован 10 июля. С тех пор в аккаунте нет активности. Сайт проекта при этом доступен. При этом пользователи жалуются на то, что платформа не работает. Разработчиков обвиняют в молчании на фоне эксплойта.

Злоумышленник собирал добычу сразу в двух блокчейнах — сети биткоина и сети Ethereum.

Все 10,29264370 BTC пришли с биткоин-кошельков, связанных с TeleSwap, и осели на одном новом адресе злоумышленника:

bc1pz95zv3qhpmt52yezs84a5zrddrk5jsxm8a60rln5kzlk06e87a3q8pf79l

Кошельков-источников было несколько. Прямо из горячего кошелька TeleSwap (bc1q5wnpn4k99wc587maaaa6eqnx27g4r6mduxg2s5) поступило 4,39085980 BTC, а остальную часть перевели с других кошельков сервиса.

Одновременно с биткоинами злоумышленник получил и стейблкоины — 35 000,63 USDT и 12 000,03 USDC. Держать их он не стал, а сразу обменял на ETH через OKX Web3.

Как мошенник переводил деньги. Граф построен при помощи инструмента Graph от BitOK.

Дальше начинается самое интересное. Там, где обычный вор просто выводит деньги, этот выстроил многоступенчатую цепочку с запутанными следами:

1. Перевод всего в один актив. Биткоины прогнали через Chainflip — это децентрализованный обменник, который позволяет менять монеты между разными блокчейнами (например, BTC на ETH) без обычной биржи и без регистрации.

Из биткоинов получилось около 350,6 ETH. Вместе с Ethereum, выменянным ранее из стейблкоинов, набралось 382,7 ETH. Собрать все в один актив удобно: за одной кучей одинаковых монет следить проще.

2. Пауза. Собранные средства пролежали на промежуточном кошельке почти пять дней.

Заметка инвестигейтора: пятидневная пауза — не случайность, а расчет. Основное внимание аналитиков приходится на первые часы после кражи; тот, кто выжидает, надеется проскочить, когда наблюдение ослабнет.

3. Дробление и микширование. 20 июля 382,6 ETH завели в Tornado Cash — это микшер, сервис, который «перемешивает» монеты множества пользователей и тем самым разрывает видимую связь между отправителем и получателем.

Чтобы затруднить анализ еще сильнее, деньги внесли не разом, а 19 отдельными депозитами круглых сумм: 3 по 100, 8 по 10, 2 по 1 и 6 по 0,1 ETH.

4. Запасной выход. Небольшой остаток 0,0922 ETH ушел в обход — через MayaChain (еще один кроссчейн-обменник) его превратили в 0,32046171 ZEC, и он осел на прозрачных Zcash-адресах.

ETH между этими этапами прошел через три адреса: сначала средства из Chainflip пришли на 0x2448cbae…0dc2718, затем их объединили на 0xfc5048…c5bb47, а после пятидневной паузы перевели на финальный 0xf8706a…6a12c7, откуда и разделили между Tornado Cash и MayaChain.

Основную часть добычи злоумышленник свел в Ethereum, выждал около пяти дней и растворил в Tornado Cash, а небольшой остаток отправил через MayaChain в Zcash.

Заметка инвестигейтора: паузы, дробление, два независимых маршрута — так действует не случайный вор, а тот, кто знает, как работает блокчейн-аналитика, и заранее готовился уходить от нее.

Главный вывод этой истории лежит не в технике блокчейна, а в том, где на самом деле проходит граница безопасности.

Смешанные в Tornado Cash средства вернуть почти невозможно. Поэтому в крипте предотвратить кражу почти всегда дешевле, чем потом ее расследовать.