Coinsbuy, 8,07 milioane de dolari furați pe TRON și Ethereum fără o cauză asumată

Duminică, 9 august 2026, puțin după ora prânzului, cinci dolari în USDT au ieșit dintr-un portofel al procesatorului de plăți Coinsbuy și au aterizat pe o adresă TRON creată cu câteva minute mai devreme. Suma abia acoperea un comision de rețea, așa că valoarea ei nu conta. Cine trimisese tranzacția voia doar să vadă dacă dreptul de retragere pe care tocmai îl căpătase chiar trece.

A trecut. În mai puțin de o oră, unsprezece portofele ale companiei, răspândite pe două rețele, rămâneau fără 8,07 milioane de dolari. Ce s-a furat și încotro au plecat banii poate verifica astăzi oricine în exploratoarele publice. Cum a ajuns atacatorul să aibă dreptul de a semna acele retrageri nu se știe nici acum, la peste o săptămână după eveniment, iar golul acesta face din cazul Coinsbuy o lecție mai utilă decât suma pierdută.

O oră de duminică, refăcută tranzacție cu tranzacție

Transferul de cinci dolari spune mai mult decât pare. Nimeni nu testează o adresă pe care o controlează de multă vreme. Un test se face atunci când ai obținut ceva nou și vrei să vezi dacă sistemul acceptă, înainte de sume care trezesc pe cineva din weekend. Iar faptul că proba a fost urmată în câteva minute de retrageri de milioane arată un atacator cu infrastructura de spălare deja pregătită.

În minutele următoare, opt portofele Coinsbuy de pe TRON au fost golite de aproximativ 6,04 milioane de USDT, toate către aceeași adresă colectoare care primise și cei cinci dolari de probă. Pe Ethereum, în același interval, alte trei adrese au pierdut 1,89 milioane de USDT și 77 ETH, convertiți imediat prin 1inch într-un portofel deschis chiar în acea zi.

Legătura dintre cele două rețele

La prima vedere puteau fi două incidente separate, nimerite din întâmplare în același interval, pentru că vorbim despre blockchainuri cu adrese și mecanisme de semnare diferite. Legătura a apărut însă chiar în datele de tranzacție. Portofelul de swap de pe Ethereum, activ pentru prima oară exact atunci, fusese alimentat de contractul de payout al serviciului cross-chain Bridgers. Valoarea plecată de pe TRON reapăruse astfel pe Ethereum, în același portofel al atacatorului, ceea ce transformă cele două mișcări într-o singură operațiune, coordonată de cineva care avea acces la ambele picioare ale infrastructurii.

Cifrele, adresele și cronologia din acest material provin din documentarea publicată de Cryptology.ro, site românesc de știri și analize crypto, unde Mihai Popa urmărește de ani buni felul în care ajunge să fie golit un exchange cripto sau un procesator de plăți fără ca nimeni să spună până la capăt pe unde s-a intrat.

Coinsbuy a oprit depunerile și retragerile la scurt timp după ce mișcările au devenit vizibile, o decizie previzibilă și corectă. Neobișnuită a fost viteza cu care serviciile au repornit, în aceeași zi, înainte ca cineva din afara companiei să aibă o explicație pentru ce se întâmplase. O platformă care nu știe pe unde a intrat atacatorul nu are cum să știe nici dacă ușa a rămas deschisă în urma lui.

Portofelele realimentate, detaliul care schimbă interpretarea

La zece până la douăsprezece ore după golire, adrese de finanțare asociate cu Coinsbuy au început să trimită bani înapoi. Au fost șapte depuneri, în total 3,93 milioane de dolari, către zece dintre portofelele pe care atacatorul tocmai le curățase, iar șapte dintre sume reproduceau pierderea corespunzătoare cu o abatere sub 0,05 la sută. Fondurile au rămas acolo.

Gestul e greu de împăcat cu ipoteza pe care mulți au formulat-o din reflex, aceea a cheilor private compromise. Nimeni nu pune milioane într-un portofel despre care crede că se află încă sub controlul altcuiva. O adresă este, în esență, o cheie, iar dacă acea cheie a fost copiată, orice depunere ulterioară devine un al doilea cadou făcut atacatorului.

Comportamentul are sens doar dacă echipa nu consideră cheile expuse, ceea ce ar muta problema deasupra lor, în stratul care decide cine are dreptul să inițieze o retragere. Realimentarea nu dovedește totuși că semnătura a rămas curată, ci doar că firma a acționat ca și cum ar fi rămas.

Ce a comunicat compania și ce a ocolit?

Pe 10 august, Coinsbuy a publicat un comunicat pe propriul blog. Textul confirmă retragerile neautorizate din mai multe portofele și susține că problema a fost izolată, că fondurile clienților afectați au fost acoperite integral din rezervele companiei și că platforma funcționează normal. Investigația era anunțată ca fiind în desfășurare, cu precizarea că detaliile tehnice nu vor fi făcute publice în această etapă.

De atunci nu a mai apărut nimic. Sistemul afectat rămâne nenumit, un raport de remediere nu a fost publicat, iar compania nu a confirmat și nici nu a contestat suma calculată de cercetătorii independenți. Singura cifră stabilită de ea însăși este recompensa de o sută de mii de dolari pentru informații care duc la identificarea autorilor. Coinsbuy a pus, așadar, un preț pe identificarea persoanelor, dar niciunul pe explicarea modului în care au intrat.

Firma este un procesator de plăți crypto pentru clienți business, activ din 2019 și înregistrat în Panama, cu documentație pentru dezvoltatori actualizată constant. Prezența ei publică este însă aproape inexistentă, contul oficial de pe X fiind inactiv din 2020. Pentru o companie care ține banii altor companii, lipsa unui canal public în ziua unei crize nu e un amănunt cosmetic.

Punctul în care dovada on-chain se oprește

Partea cu adevărat neliniștitoare a poveștii nu este suma, ci tăcerea din jurul cauzei. Cercetătorii nu au găsit niciun apel vulnerabil de contract și nicio schimbare de rol privilegiat care să explice retragerile, iar la nivel de protocol nimic nu a cedat. Ethereum și TRON au acceptat fiecare transfer conform propriilor reguli, cu semnături corecte, fiindcă din perspectiva rețelelor nu s-a întâmplat nimic anormal.

Cine a inițiat retragerile avea autoritatea să o facă. Ce nu se vede în blockchain este cum a ajuns atacatorul să dețină acea autoritate. Un sistem de administrare a portofelelor compromis ar produce exact același rezultat, la fel un serviciu de semnare preluat de altcineva sau un cont de operator cu privilegii prea largi. O credențială de API scursă duce în același loc, iar un flux de aprobare ocolit ar arăta, în exploratoare, identic.

Un amănunt documentat trebuie pus pe masă cu grija de a nu-l transforma în ceva ce nu este. Pe 29 iulie, cu unsprezece zile înainte de furt, compania a remediat două erori legate de aprobarea plăților, potrivit propriilor note de versiune. Nicio sursă publică nu a stabilit vreo legătură cu incidentul, însă stratul de aprobare fusese, cu puțin timp înainte, o zonă în care apăreau probleme de logică.

Traseul banilor, de la FixedFloat spre Monero

Circulația fondurilor este partea rezolvată a poveștii, iar contrastul cu ceața din jurul cauzei sare în ochi. Aproximativ 79 la sută din pradă, în jur de 6,34 milioane de dolari, a trecut prin serviciul de schimb instant FixedFloat, în depuneri repetate de câte 100.000 de dolari, împinse prin circa cincizeci de adrese intermediare de unică folosință. Alte 150 ETH au mers pe ruta ChangeNOW, care a înghețat o sumă de ordinul sutelor de mii de dolari după ce a fost alertat de cercetătorii ce semnalaseră primii incidentul. O parte din valoare a ajuns în cele din urmă în Monero, acolo unde urma publică se pierde definitiv.

O înghețare funcționează doar dacă serviciul identifică depunerea la timp, dacă mai deține control asupra unor sume neschimbate încă și dacă decide să acționeze, iar toate depind de viteza cu care cineva din afară ridică telefonul. De aceea recuperările rămân, aproape mereu, o fracțiune modestă din total.

Cronologia spălării, cu adresele intermediare și cu sumele blocate, a fost pusă cap la cap de Mihai Popa, analist și jurnalist la Cryptology.ro, care a urmărit cazul pe măsură ce cercetătorii on-chain publicau datele.

De ce un procesator B2B ridică o miză diferită?

Când o platformă de retail pierde bani, victimele sunt utilizatori individuali, iar reacția vine imediat și zgomotos. Când pierde un procesator business, lanțul e mai lung și mult mai tăcut, pentru că victimele imediate sunt firme, iar oamenii de la capătul lanțului nici nu știu că numele Coinsbuy există. Un procesator multi-chain adună, prin natura serviciului, o suprafață de atac care crește cu fiecare rețea adăugată, fiindcă mai multe integrări înseamnă mai multe hot walleturi și mai multe sisteme de semnare care trebuie să reziste simultan. Un singur punct slab în stratul care le orchestrează expune fonduri de pe întregul stack, exact tiparul din 9 august.

Pentru companiile care externalizează încasările în active digitale, întrebările utile se pun înainte de semnarea contractului, nu după incident. Unde se semnează tranzacțiile, câți oameni pot aproba singuri o retragere peste un prag stabilit, în cât timp e furnizorul obligat contractual să anunțe o breșă. Coinsbuy a acoperit pierderea din rezerve proprii și și-a protejat clienții, dar următorul procesator care trece prin ceva similar s-ar putea să nu aibă de unde.

Contextul anului confirmă direcția. TRM Labs a numărat 207 atacuri în prima jumătate a lui 2026, față de 83 în aceeași perioadă a anului trecut, iar totalul furat la nivel de sector depășise 972 de milioane de dolari spre finalul lui iulie. Exploatările de contract inteligent, cele care produceau titluri în 2021, cedează teren în fața compromiterii de credențiale și conturi privilegiate. Securitatea unui sistem crypto matur ține tot mai puțin de calitatea codului și tot mai mult de igiena operațională, adică de cine are acces la ce și de cât de repede se observă că acel acces a trecut în alte mâini.

Articolul original poate fi consultat integral la adresa https://cryptology.ro/coinsbuy-furt-8-milioane-dolari-tron-ethereum.