Un attaccante ha sottratto più di 8 milioni di dollari dalla piattaforma crypto Coinsbuy attraverso le reti Tron ed Ethereum il 9 agosto, prima di trasferire la maggior parte dei fondi rubati attraverso exchange intermediari, secondo un'analisi dell'investigatore blockchain BlockWatchdog.

In un report pubblicato su X, BlockWatchdog ha riferito che l'attacco è iniziato su Tron con una transazione di test di 5 USDT — un comune passo di ricognizione che gli attaccanti utilizzano per verificare l'accesso e i percorsi transazionali prima di eseguire trasferimenti di entità maggiore. Pochi minuti dopo, oltre 6 milioni di USDT sono stati prosciugati da otto wallet Coinsbuy. Su Ethereum, altri 1,89 milioni di USDT e 77 ETH sono stati sottratti da tre wallet.

"Il 9 agosto, Coinsbuy ha identificato un incidente di sicurezza che ha comportato prelievi non autorizzati da diversi wallet della piattaforma," ha dichiarato Coinsbuy in una comunicazione condivisa con Decrypt. "Il problema è stato contenuto e il nostro team è intervenuto immediatamente per mettere in sicurezza la piattaforma e proteggere i nostri utenti."

BlockWatchdog ha collegato le transazioni su Tron ed Ethereum allo stesso attaccante attraverso il servizio di swap cross-chain Bridgers. L'attaccante ha quindi trasferito circa 6,34 milioni di dollari, pari al 79% dei fondi rubati, attraverso l'exchange di criptovalute FixedFloat. Altri 150 ETH sono stati inviati tramite ChangeNOW. Sia FixedFloat che ChangeNOW sono servizi di swap non-custodial che sono stati frequentemente utilizzati in passato in operazioni di riciclaggio grazie alle minori attriti rispetto agli exchange pienamente regolamentati. Secondo BlockWatchdog, ulteriori 282,2 ETH, dal valore di circa 542.000 dollari al momento dell'attacco, sono rimasti intoccati su cinque indirizzi.

Poche ore dopo il furto, Coinsbuy ha reintegrato i wallet interessati. BlockWatchdog ha riferito che circa 3,93 milioni di dollari sono stati restituiti agli stessi 10 indirizzi, con sette depositi corrispondenti agli importi originariamente sottratti con uno scarto inferiore allo 0,05%.

"Tutti i fondi clienti colpiti sono stati interamente coperti da Coinsbuy tramite le nostre riserve, quindi i nostri utenti non hanno subito alcuna perdita finanziaria," ha dichiarato Coinsbuy. "La piattaforma è tornata a operare normalmente, con tutti i servizi pienamente disponibili."

Secondo BlockWatchdog, la decisione di reintegrare i wallet suggerisce che il team di Coinsbuy non riteneva che le chiavi private alla base fossero state compromesse.

"Ciò ha senso solo se il team non ritiene che le chiavi private siano state divulgate," ha scritto BlockWatchdog. "Un indirizzo è una chiave: nessuno reintegra un wallet compromesso con cifre a sette zeri due volte in una sola notte. Ciò che è stato sottratto il 9 agosto si trovava sopra le chiavi — il percorso di prelievo che le utilizza."

Sebbene l'esatto vettore di attacco rimanga sconosciuto, BlockWatchdog ha suggerito che l'attaccante potrebbe aver ottenuto l'accesso al sistema di prelievo di Coinsbuy — uno scenario coerente con un pattern più ampio di attacchi mirati a infrastrutture operative come server di firma, endpoint API o flussi di approvazione, anziché al materiale di chiave in sé.

"Nulla su chain mostra come sia stato raggiunto il percorso di prelievo — la reintegrazione argomenta contro il furto di chiavi, ma non individua cosa lo abbia sostituito," ha scritto l'investigatore. "Nessuna attribuzione nemmeno: zero sovrapposizioni di indirizzi con l'attaccante Triple-A del 24 luglio, e un'abitudine di riciclaggio diversa."

Coinsbuy non aveva ancora spiegato pubblicamente come l'attaccante avesse ottenuto l'accesso al momento della pubblicazione, ma ha dichiarato che l'azienda sta " conducendo un'indagine approfondita per stabilire esattamente cosa sia successo."

"Per supportare l'indagine, stiamo anche lanciando un'iniziativa per catturare i responsabili di questo incidente — una ricompensa di 100.000 dollari per informazioni che portino alla loro identificazione," ha dichiarato Coinsbuy. "Un bonus aggiuntivo sarà inoltre disponibile per qualsiasi assistenza che porti al recupero dei fondi rubati."

L'incidente è l'ultimo di una serie di importanti attacchi al settore crypto avvenuti negli ultimi mesi. I protocolli DeFi hanno perso oltre 840 milioni di dollari a causa di attacchi nei primi cinque mesi del 2026, secondo DeFiLlama. A luglio, gli attaccanti hanno sottratto 24 milioni di dollari dalla piattaforma AFX Trade basata su Arbitrum dopo aver sfruttato un bridge gestito dallo exchange decentralizzato. In precedenza quello stesso mese, lo exchange decentralizzato Ostium ha perso 18 milioni di dollari dopo che un attaccante aveva compromesso una chiave oracle.

Nota del redattore: questo articolo è stato aggiornato dopo la pubblicazione per includere il commento di Coinsbuy.