La plateforme d'échange Coinsbuy a subi des pertes dépassant les 8 millions de dollars après que des attaquants ont exploité ses comptes sur les blockchains TRON et Ethereum le 9 août, selon des enregistrements de transactions on-chain et une enquête en cours.

L'attaque a commencé par un transfert mineur de 5 USDT avant de s'accélérer rapidement. Ces petites transactions initiales constituent une technique de reconnaissance couramment observée dans les vols de cryptomonnaies, utilisée par les attaquants pour confirmer l'accès et vérifier si les transferts aboutiront avant de procéder à des retraits plus importants. En l'espace d'environ une heure, l'attaquant a drainé environ 6,04 millions de dollars en stablecoins depuis huit portefeuilles sur le réseau TRON. L'opération a ensuite été suivie de transactions supplémentaires sur Ethereum, impliquant environ 1,89 million de dollars en USDT et 77 ETH provenant de trois portefeuilles.

Les actifs volés sur Ethereum ont été rapidement convertis en ETH via le portefeuille 1inch, compliquant les mouvements de fonds et augmentant le nombre d'adresses et de services impliqués dans le traçage de la cryptomonnaie volée. Le montant total drainé sur TRON et Ethereum a dépassé 8 millions de dollars, les enquêteurs suivant par la suite les fonds à travers des services de pont interchaîne et de change instantané.

Les enquêteurs relient les transactions TRON et Ethereum

Les enquêteurs on-chain ont identifié un lien entre les deux réseaux via un service d'échange interchaîne appelé Bridgers. Les enregistrements de transactions ont indiqué que le service utilisait un contrat de paiement Ethereum pour envoyer des fonds directement vers un portefeuille d'échange Ethereum associé à l'attaquant.

Ce lien a aidé les enquêteurs à connecter des transactions qui semblaient initialement être des opérations distinctes sur différentes blockchains. Cette découverte montre comment les attaquants peuvent déplacer des actifs entre des réseaux et des services afin de compliquer les enquêtes et de masquer la trace des fonds volés.

L'attaquant a par la suite acheminé environ 79 % de la cryptomonnaie volée via le change instantané FixedFloat, en utilisant une cinquantaine de portefeuilles différents. Les services de change instantané comme FixedFloat et ChangeNOW ont été fréquemment utilisés dans des opérations de blanchiment passées, car ils exigent généralement une vérification d'identité moins stricte que les plateformes réglementées, ce qui les rend attrayants pour masquer l'origine des fonds. Les enquêteurs ont également informé ChangeNOW des fonds volés, entraînant le gel d'un montant à six chiffres. Environ 282 ETH, d'une valeur d'environ 542 000 dollars au moment du rapport, sont restés intacts sur cinq comptes. Les enquêteurs ont continué à surveiller ces adresses pour tout mouvement ultérieur.

Coinsbuy reconstitue les comptes affectés

Dans les 24 heures suivant l'attaque, Coinsbuy avait reconstitué les comptes affectés à hauteur de 0,05 % près de leurs soldes précédents. Cette restauration rapide a été considérée comme une indication que les attaquants n'avaient probablement pas obtenu les clés privées associées aux portefeuilles.

Cependant, le vecteur d'attaque précis n'avait pas encore été établi. Déterminer comment les attaquants ont obtenu la capacité de transférer les fonds reste un objectif central de l'enquête, d'autant plus que le déplacement d'actifs à travers plusieurs portefeuilles et réseaux blockchain pourrait avoir impliqué une vulnérabilité ou un mécanisme d'accès compromis.

Coinsbuy a déclaré que ses clients n'avaient subi aucune perte et que la plateforme restait stable et opérationnelle pendant la poursuite de l'enquête. La plateforme a également indiqué qu'elle retenait des informations techniques supplémentaires pendant que les enquêteurs travaillaient à déterminer les circonstances de la violation.

Coinsbuy a offert une récompense allant jusqu'à 100 000 dollars pour toute information menant à l'identification des responsables, avec une récompense supplémentaire disponible si les fonds volés sont récupérés.

https://x.com/BlockWatchdog/status/2086693306851840323?ref_src=twsrc%5Etfw

Les risques de sécurité crypto restent élevés

L'incident de Coinsbuy survient dans un contexte de hausse plus large des violations de sécurité des cryptomonnaies. Les données de sécurité blockchain ont indiqué que les pertes liées à la crypto ont atteint environ 1 milliard de dollars durant le premier semestre 2026, tandis que le secteur a enregistré son plus grand nombre de piratages pour une période de six mois.

Ethereum et Solana représentaient les pertes les plus importantes signalées parmi les réseaux blockchain durant cette période. Les attaques liées à Ethereum ont entraîné environ 332 millions de dollars de pertes, tandis que les incidents basés sur Solana représentaient environ 326 millions de dollars.

Les causes différaient entre les deux réseaux : les pertes sur Ethereum étaient largement liées à l'exploitation de code, tandis que les attaques impliquant Solana étaient associées à des clés compromises et à une infrastructure de signature.

La violation de Coinsbuy met en lumière la complexité croissante des attaques impliquant plusieurs blockchains et services financiers. Le déplacement d'actifs volés via des systèmes interchaîne, des portefeuilles décentralisés et des changes instantanés peut créer des défis supplémentaires pour les enquêteurs cherchant à geler les fonds. L'implication du réseau TRON ajoute une complexité supplémentaire, car les frais de transaction plus bas et le débit élevé de TRON en ont fait un réseau fréquemment utilisé pour les transferts de stablecoins et, par conséquent, pour le déplacement de produits illicites.

Pour les plateformes d'échange, l'incident souligne l'importance de la sécurité des portefeuilles, de la surveillance des transactions et de la coordination rapide avec les firmes d'analyse blockchain et autres prestataires de services crypto. La décision de Coinsbuy de reconstituer les comptes affectés et d'offrir une récompense substantielle pour la récupération indique que la plateforme cherche à contenir l'impact financier et opérationnel pendant la poursuite de l'enquête.

L'affaire reste non résolue, la méthode utilisée pour obtenir le contrôle non autorisé des portefeuilles affectés étant toujours inconnue et certains fonds volés continuant de se trouver dans des adresses surveillées.