Mit dem Kryptowährungs-Zahlungsanbieter Coinsbuy verknüpfte Wallets erlitten Verluste von mehr als 7,9 Millionen Dollar bei einem chainübergreifenden Abfluss über Ethereum und TRON, wobei die gestohlenen Vermögenswerte anschließend über mehrere Austauschdienste geleitet und teilweise in Monero (XMR) umgewandelt wurden.

Der Onchain-Ermittler Specter identifizierte die verdächtigen Abflüsse gegen 13:00 UTC am 9. August. Als Reaktion auf den Vorfall setzte Coinsbuy vorübergehend sowohl Einzahlungen als auch Abhebungen aus, bevor später der volle Dienst wiederhergestellt wurde.

Die Angriffsmethode wurde bisher nicht öffentlich identifiziert. Verfügbare Beweise deuten darauf hin, dass der Vorfall kompromittierte, mit Coinsbuy verknüpfte Wallets betraf und nicht auf eine Schwachstelle in den Ethereum- oder TRON-Netzwerken selbst zurückzuführen ist. Die Weiterleitung gestohlener Vermögenswerte über mehrere Blockchains erschwert die Rückgewinnung, da jedes Netzwerk unter unterschiedlichen Verfolgungstools, Bridge-Mechanismen und Transaktionsfinalitätsregeln arbeitet.

Gestohlene Gelder über Austauschdienste in Monero geleitet

Die gestohlenen Vermögenswerte wurden von den betroffenen Wallets über mehrere Austauschdienste verschoben, wobei der Täter einen Teil der Erlöse in XMR umwandelte. ChangeNOW, FixedFloat und BingX gehörten zu den Plattformen, die entlang des Transaktionswegs identifiziert wurden.

Die Privacy-Architektur von Monero verschleiert Transaktionsbeträge, Absenderadressen und Empfänger, sobald Gelder in das Netzwerk gelangen, was die öffentliche Verfolgung nach Abschluss einer XMR-Umwandlung durch eine Börse erheblich erschwert. Dieses Waschmuster – die Weiterleitung über mehrere Swap-Dienste, bevor eine Privacy Coin erreicht wird – ist zu einem wiederkehrenden Merkmal bei groß angelegten Kryptowährungs-Diebstählen geworden und verkürzt das Zeitfenster, in dem Börsen Gelder einfrieren können, bevor diese aus der öffentlichen Sicht verschwinden.

ChangeNOW griff ein, bevor alle verfolgten Vermögenswerte die Plattform verlassen konnten, und froren einen nur als sechsstelligen Betrag beschriebenen Wert ein. Coinsbuy hat weder den genauen zurückgewonnenen Saldo noch den Betrag der 7,9 Millionen Dollar, der noch verfolgbar ist, offengelegt.

Die Plattform von Coinsbuy bietet Kryptowährungs-Zahlungsabwicklung und Wallet-Infrastruktur für Händler, Börsen und andere Unternehmen und stellt Verwahrung, Einzahlungen und automatisierte Abhebungen über mehrere Blockchains bereit. Für Zahlungsabwickler, die als Vermittler für Händlerabrechnung und Auszahlungen fungieren, birgt die Kompromittierung von Wallets operationelle Risiken über den unmittelbaren Verlust hinaus, da Kunden auf kontinuierliche Transaktionsverfügbarkeit angewiesen sind.

Chainübergreifender Abfluss folgt auf Triple-A-Diebstahl

Der Vorfall bei Coinsbuy ereignet sich kurz nach einem separaten Abfluss von 9,7 Millionen Dollar aus mit Triple-A verknüpften Wallets, den Specter über TRON, Ethereum, Polygon und Arbitrum verfolgte. In diesem Fall wurden die Gelder über Bridges übertragen und in ETH konsolidiert, bevor ein Teil des Saldos später über Privacy-Infrastruktur verschoben wurde.

Beide Vorfälle betrafen Gelder, die Wallets von Kryptowährungs-Zahlungsunternehmen über mehrere Netzwerke verließen. Derzeit gibt es keine Beweise, die die beiden Angriffe verbinden oder eine gemeinsame Kompromittierungsmethode feststellen.

Die Verluste setzen einen breiteren Trend erhöhter Kryptowährungs-Diebstähle fort. Im Juli wurden durch 30 größere Hacks 210,3 Millionen Dollar abgezogen – ein Anstieg von 177,2 % gegenüber Juni.

Coldcard-Verluste erhöhen den Sicherheitsdruck

Die Sicherheit von Wallets steht nach mit Coldcard verknüpften Bitcoin-Diebstählen, die auf bis zu 132 Millionen Dollar anstiegen, unter besonderer Beobachtung. Galaxy Research identifizierte mindestens 15 mutmaßliche Angreifer, die Seed-Phrases ins Visier nahmen, die mit anfälliger Coldcard-Firmware generiert wurden, wobei Tausende von Adressen in den weiteren Abfluss verwickelt sind.

Der Fall Coinsbuy unterscheidet sich dadurch, dass bisher keine Schwachstelle bei der Seed-Generierung, bei Smart Contracts oder in der Software identifiziert wurde. Die unmittelbare operationelle Störung des Unternehmens wurde beendet, und Einzahlungen sowie Abhebungen wurden vollständig wiederhergestellt.

Die Einfrierung durch ChangeNOW bleibt die einzige öffentlich bekannt gegebene Rückgewinnungsmaßnahme, während der insgesamt identifizierte Verlust bei mehr als 7,9 Millionen Dollar liegt. Ob Coinsbuy weitere Details zum Umfang der kompromittierten Gelder, zum zurückgewonnenen Betrag oder zu Auswirkungen auf Kunden offenlegt, bleibt eine offene Frage für betroffene Händler und Partner.