Un attaquant a siphonné plus de 8 millions de dollars de la plateforme crypto Coinsbuy sur les réseaux Tron et Ethereum le 9 août, avant de transférer la majeure partie des fonds volés via des plateformes d'échange intermédiaires, selon une analyse de l'investigateur blockchain BlockWatchdog.

Dans un rapport publié sur X, BlockWatchdog a indiqué que l'attaque avait commencé sur Tron par une transaction test de 5 USDT — une étape de reconnaissance courante que les attaquants utilisent pour vérifier l'accès et les voies de transaction avant d'exécuter des transferts plus importants. Quelques minutes plus tard, plus de 6 millions d'USDT étaient siphonnés de huit portefeuilles Coinsbuy. Sur Ethereum, 1,89 million d'USDT supplémentaires et 77 ETH ont été prélevés sur trois portefeuilles.

« Le 9 août, Coinsbuy a identifié un incident de sécurité qui a entraîné des retraits non autorisés sur plusieurs portefeuilles de la plateforme », a déclaré Coinsbuy dans une déclaration partagée avec Decrypt. « Le problème a été contenu depuis, et notre équipe est immédiatement intervenue pour sécuriser la plateforme et protéger nos utilisateurs. »

BlockWatchdog a relié les transactions Tron et Ethereum au même attaquant via le service d'échange cross-chain Bridgers. L'attaquant a ensuite déplacé environ 6,34 millions de dollars, soit 79 % des fonds volés, via la plateforme d'échange de cryptomonnaies FixedFloat. 150 ETH supplémentaires ont été envoyés via ChangeNOW. FixedFloat et ChangeNOW sont tous deux des services d'échange non-dépositaires qui ont été fréquemment utilisés dans d'anciens réseaux de blanchiment en raison de leur faible friction par rapport aux plateformes entièrement réglementées. Selon BlockWatchdog, 282,2 ETH supplémentaires, d'une valeur d'environ 542 000 dollars au moment de l'attaque, sont restés intacts sur cinq adresses.

Quelques heures après le vol, Coinsbuy a reconstitué les soldes des portefeuilles affectés. BlockWatchdog a rapporté qu'environ 3,93 millions de dollars ont été renvoyés vers les mêmes 10 adresses, sept des dépôts correspondant aux montants initialement volés à près de 0,05 % près.

« Tous les fonds clients affectés ont été entièrement couverts par Coinsbuy sur nos propres réserves, de sorte que nos utilisateurs n'ont subi aucune perte financière », a déclaré Coinsbuy. « La plateforme fonctionne à nouveau normalement, tous les services étant totalement disponibles. »

Selon BlockWatchdog, la décision de réapprovisionner les portefeuilles suggère que l'équipe de Coinsbuy ne pensait pas que les clés privées sous-jacentes aient été compromises.

« Cela n'a de sens que si l'équipe ne pense pas que les clés privées aient fuité », a écrit BlockWatchdog. « Une adresse est une clé : personne ne réapprovisionne un portefeuille compromis avec sept chiffres deux fois en une nuit. Ce qui a été pris le 9 août se trouvait au-dessus des clés — le chemin de retrait qui les utilise. »

Bien que le vecteur d'attaque exact reste inconnu, BlockWatchdog a suggéré que l'attaquant aurait pu accéder au système de retrait de Coinsbuy — un scénario cohérent avec une tendance plus large d'attaques ciblant l'infrastructure opérationnelle telle que les serveurs de signature, les points de terminaison d'API ou les flux d'approbation, plutôt que le matériel de clé brut.

« Rien sur la chaîne ne montre comment le chemin de retrait a été atteint — le réapprovisionnement va à l'encontre du vol de clés, cela ne nomme pas ce qui l'a remplacé », a écrit l'investigateur. « Aucune attribution non plus : aucun chevauchement d'adresses avec l'attaquant Triple-A du 24 juillet, et une habitude de blanchiment différente. »

Coinsbuy n'avait pas expliqué publiquement comment l'attaquant avait obtenu l'accès au moment de la publication, mais a déclaré que l'entreprise « menait une enquête approfondie pour établir exactement ce qui s'est passé. »

« Pour soutenir l'enquête, nous lançons également une initiative pour attraper les responsables de cet incident — une récompense de 100 000 dollars pour toute information menant à leur identification », a déclaré Coinsbuy. « Une prime supplémentaire sera également disponible pour toute aide menant à la récupération des fonds volés. »

L'incident est le dernier d'une série de piratages cryptos majeurs survenus ces derniers mois. Les protocoles DeFi ont perdu plus de 840 millions de dollars suite à des piratages au cours des cinq premiers mois de 2026, selon DeFiLlama. En juillet, des attaquants ont volé 24 millions de dollars à AFX Trade basé sur Arbitrum après avoir exploité un pont géré par la plateforme d'échange décentralisée. Plus tôt ce mois-là, la plateforme d'échange décentralisée Ostium a perdu 18 millions de dollars après qu'un attaquant a compromis une clé d'oracle.

Note de la rédaction : Cet article a été mis à jour après sa publication pour inclure le commentaire de Coinsbuy.