Взлом Bonzo Lend: все 4 571 ETH ушли в Tornado Cash — большая часть за сутки

По отчёту Bonzo и сообщениям прессы, источник цены токена SAUCE, которым пользовался Bonzo, принял обновление с пустой подписью. Атакующий поднял цену на двенадцать порядков, внёс 250 SAUCE и занял под них 6,63 млн USDC и около 34,5 млн обёрнутых HBAR — примерно $9,05 млн. Объём средств в Bonzo за несколько часов упал на 77%; «белый» хакер, забравший во время инцидента около $1 млн, вернул их.

PeckShield и Specter в тот же день отметили эфирную часть и назвали два кошелька: 0xaf20D792A19fD42dCf697ceBa6100291D96dD93e и 0x9A4966152F6e10b33Cb7a37975e8619816d6a494. Всё, что ниже, — эти два кошелька, прочитанные 5 октября 2026 года.

Основного кошелька не существовало до 22:15 UTC 10 июля, когда он получил 0,995 ETH из пула Tornado Cash на 1 ETH. Первые украденные деньги пришли на него в 00:57 11 июля — меньше чем через три часа. Второй кошелёк создан с первого в 01:04 переводом 0,005 ETH и служил боковым входом: через него на основной прошли 14,16 WBTC и около 115 ETH.

Атакующий не ограничился одним мостом. За одиннадцать часов деньги пришли четырьмя путями:

Биткоин через LayerZero. 92,64 WBTC поступили через адаптер WBTC сети LayerZero 33 переводами по 1,4–5,8 WBTC с интервалом в несколько минут, начиная с 01:32 UTC. Всё продано за эфир через 0x — 3 133,6 ETH 11 июля и ещё 156,7 ETH 14 июля.

Эфир из Arbitrum и Base. С 07:12 до 07:21 мост Relay доставил 927,3 ETH девятью платежами — восемь по 99,73 ETH и один на 129,47. По платежам, которые мы проверили, записи самого Relay показывают отправителем на другой стороне тот же адрес — 100 ETH в Arbitrum, 129,82 ETH в Base. То есть часть денег из Hedera сначала перевели в эти сети, там обменяли на эфир и только потом привели в Ethereum.

Across и Stargate. Ещё 133 ETH пришли через Across в 07:27–07:31 и 7 ETH через Stargate.

Стейблкоины. 98 323 USDC и около 75 600 USDT пришли напрямую и за несколько часов были обменяны на эфир.

В сумме на основной кошелёк поступило 4 570,9 ETH. Цифры, опубликованные в день взлома, ниже, потому что это моментальные снимки: $5,25 млн насчитали, когда на кошельке лежало 2 360 ETH, а WBTC ещё поступали и продавались.

Первый депозит в Tornado Cash ушёл в 11:20 UTC 11 июля, через семь минут после продажи последних WBTC. Дальше кошелёк не делал ничего другого: 45 депозитов по 100 ETH, 6 по 10, 11 по 1 и один на 0,1 — всего 4 571,1 ETH. 4 405 ETH оказались в миксере до конца 11 июля. Последние 4,49 WBTC пришли из Hedera 14 июля; их продали, и оставшиеся 166,1 ETH ушли следом тем же утром.

На 5 октября на основном кошельке 0,09 ETH, на втором ничего. Их история теперь забита адресами-двойниками — 0xaf22…, 0xaf20…, 0x9A49… — и поддельными токенами с названиями «ETH» и «USDT», которые присылают посторонние, чтобы обмануть того, кто копирует адрес из списка. К следу они не относятся.

В Ethereum — ни с чем: здесь нет остатка, который можно заморозить или за которым стоит следить. Примерно $0,8 млн заявленных потерь на этих двух кошельках не появились; они либо ушли на комиссии мостов и обменов, либо остались в Hedera, которую мы не читали.

Оба кошелька мы пометили в нашей базе как связанные со взломом. Проверить любой адрес по этому и другим нашим делам можно на странице проверки адреса.

Она никого не называет и не говорит, кто управляет каким-либо адресом. Механизм и сумма потерь — данные Bonzo и прессы; два кошелька в Ethereum первыми назвали PeckShield и Specter. Поступления, маршруты и суммы в Tornado — наши, прочитаны в сети 5 октября 2026 года. Долларовая оценка считает ETH примерно по $1 800 — цене, которая следует из сообщений 11 июля.