Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras
Криптовалютний платіжний шлюз Coinsbuy, який забезпечував обробку депозитів і масові виплати для гемблінг-платформ, криптосервісів та партнерських мереж, зазнав атаки з прямим виведенням активів на суму понад $7,9 млн. Компрометація ключів керування гарячими гаманцями призвела до зупинки транзакцій. У результаті сотні мерчантів зіткнулися із блокуванням балансів, а вебмайстри втратили миттєве виведення профіту.
Механіка зламу та схема відмивання через Monero
Атака відбулася за класичним сценарієм компрометації приватних ключів від гаманців оперативної ліквідності. Зловмисники обійшли внутрішні ліміти системи та вивели кошти одразу у двох ключових екосистемах:
Пряме спустошення гарячих гаманців: активи списувалися паралельно в мережах Ethereum та TRON, де зберігався основний пул клієнтських стейблкоїнів USDT та нативних токенів.
Дроблення через DEX: викрадені кошти розбивалися на дрібні транші та проганялися крізь децентралізовані обмінники й мости для заплутування слідів.
Вихід в анонімний пул: фінальна конвертація проходила через сервіси швидкого обміну (зокрема FixedFloat та ChangeNOW) із виведенням у Monero (XMR), що унеможливило подальше ончейн-відстеження.
Службі безпеки за підтримки аналітиків вдалося оперативно скоординуватися з централізованими біржами та заморозити шестизначну суму на проміжних адресах, проте понад 85% вкрадених активів пішли в незворотні приватні транзакції.
Заморожування кас мерчантів та стоп миттєвих виплат
Основний удар припав на b2b-клієнтів платформи. В арбітражній інфраструктурі Coinsbuy часто відігравав роль транзитного моста: гемблінг- та беттінг-платформи приймали через нього депозити гравців, а CPA-мережі проводили автоматичні виплати вебмайстрам.
Після компрометації сервіс терміново вимкнув роботу API:
Каси онлайн-продуктів припинили приймати депозити в USDT TRC-20 та ERC-20, втративши конверсію на вхідному трафіку.
Оборотні кошти мерчантів виявилися заблокованими на невизначений термін до завершення технічного аудиту та покриття касового розриву з резервів.
Партнерські мережі зупинили інстанти вебмайстрам, перевівши обробку заявок у ручний режим із затримками на кілька днів.
Команди, які заливали обсяги з коротким холдом, опинилися в ситуації касового розриву через неможливість вивести оборотку на закупівлю розхідників.
Раптовий дефіцит ліквідності змусив фінансові відділи терміново підключати резервні платіжні шлюзи, щоб не зірвати графіки взаєморозрахунків із баєрами.
Як захистити оборотку під час роботи з криптопроцесингом
Інцидент із Coinsbuy підтверджує небезпеку зберігання коштів на боці централізованих посередників.Для захисту фінансових потоків команд потрібні жорсткі технічні регламенти:
Автоматичний свіп коштів: баланси на мерчант-акаунтах не повинні накопичуватися — вхідні транзакції мають автоматично перенаправлятися на холодні мультисиг-гаманці кожні 15–30 хвилин.
Мультишлюзова інтеграція: розподіл вхідних та вихідних потоків щонайменше між двома-трьома незалежними провайдерами криптоеквайрингу.
Відмова від збереження резервів у платіжках: утримання на гарячих балансах шлюзу лише мінімального обсягу під поточні денні виплати.
Регулярний аудит смарт-контрактів та дозволів (approvals) на робочих адресах для запобігання несанкціонованим списанням.
Комментарій автора:
Цей злам наочно демонструє системну проблему всього b2b-сегмента: команди витрачають серйозні ресурси на захист власних зв'язок та розхідників, але довіряють денну оборотку стороннім платіжним сервісам із єдиною точкою відмови. Зберігання операційних балансів на гарячих гаманцях кастодіальних сервісів без налаштованих щогодинних автоматичних свіпів у холодні сховища неминуче призводить до касових розривів за першої ж компрометації адмін-доступу.
Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras
👉🏻Слідкуйте за новинами в нашому telegram-каналі — Новини Арбітражу.
Коментарів поки немає. Почніть обговорення.