Взлом Duelbits: пять сетей слиты в один кошелёк, 1 370 ETH уже в Tornado Cash
PublicAML · Ончейн-расследование · 29 сентября 2026
24 сентября 2026 года горячие кошельки криптоказино Duelbits опустели в Ethereum, BNB Chain, TRON, Solana и Bitcoin с разницей в несколько минут. Это указывает на украденные приватные ключи, а не на ошибку в контракте. Сооснователь Duelbits оценил ущерб примерно в $7 млн. Мы проследили ветки Ethereum, TRON и Solana: почти всё обменяли на ETH и собрали на одном кошельке, 0x8dB9D7f0…C306, где оказалось 2 333,6 ETH. 26–28 сентября атакующий начал его опустошать: 1 370 ETH ушли в Tornado Cash через четыре новых кошелька. 973,5 ETH всё ещё там.
2 333,6 ETH
собрано на одном кошельке атакующего к 25 сентября (≈ $6,2 млн)
1 370 ETH
отправлено в Tornado Cash 26–28 сентября
973,5 ETH
по-прежнему на кошельке-копилке на 29 сентября
5 сетей
опустошены разом: Ethereum, BNB Chain, TRON, Solana, Bitcoin
Как взломали Duelbits
Первый вывод ушёл с горячего кошелька казино в TRON примерно в 08:58 UTC 24 сентября; кошелёк в Solana был пуст к 09:00, в Ethereum к 09:02. В этих транзакциях нет необычных вызовов контрактов: это обычные переводы, подписанные самими кошельками. Тот, кто их отправил, держал ключи подписи сразу от всех сетей, поэтому аналитики говорят о компрометации приватных ключей. Duelbits причину не публиковала, и эта страница её не угадывает.
Ранние оценки в $4,2–4,3 млн (ScamSniffer, PeckShield) охватывали только первые три сети; позже ScamSniffer добавил 209 BNB в BNB Chain и 8,1 BTC в Bitcoin, а сооснователь Duelbits говорил примерно о $7 млн. Около $6,2 млн в ETH, которые мы прослеживаем ниже, вместе с биткоинами сходятся с его цифрой.
Всё превратилось в ETH
В Ethereum горячий кошелёк 0x014435B1E39945CF4f5F0c3cbb5833195A95CC9B (на Etherscan подписан «Duelbits») отправил 836 ETH, 593 430 USDT, 96 805 USDC, 31 515 DAI и 12,4 млрд SHIB на 0xA77e24Fe29d16E051e487ef4Ea7b056cb05aef76, адрес, который ScamSniffer пометил «Hacker (EVM)». Токены за несколько часов обменяли на ETH: стейблкоины эмитенты могут заморозить, ETH нет.
В TRON горячий кошелёк THqFmhAPcdHECH3wmrpZv4MWAB2v9TY1oN отправил 476 058 USDT на TAvraZZFCZbDSZoyqWWRRsBkFgZqKaCGbK. Их продали примерно за 1,39 млн TRX и перевели мостом Relay на тот же кошелёк в Ethereum 16 частями примерно по 100 000 TRX.
В Solana горячий кошелёк FoxqdkGRDZstVFA3wAyLnhua5ZB7jpoE36L3kcUAMqf4 потерял 5 294 SOL в пользу A3EBrhMBEGzcPgmbwywSPhW39G6PFGrorU8ib99T6yKw. Около 3 529 SOL ушли через Relay в Ethereum и пришли в виде ETH на 0xb5909F3539FE2733866BbdE2d3FfCA5c6292eBBF, затем прошли через 0x2A8D93C0096db4F68AFd8e007dee9cdCD4180E62 и 0x922ADc930Ceeaeda74AD9cA86474a753f7D8cD23.
Три сети связывает публичный журнал запросов моста Relay: в каждом запросе записан отправитель в исходной сети и получатель в Ethereum.
Один кошелёк к следующему утру
К 13:08 UTC 24 сентября три потока сошлись на 0x8dB9D7f0a03d212c566Ca80c66e294CeCC20C306: 1 601,17 ETH с транзитного кошелька 0x181A638038A4bD75c207d080DE83e217f8e8a1d7, 476,53 ETH со стороны Solana и 155 ETH с 0x6761c9b15815f4051773EDe39B42B95bdDB3EF1c, который 25 сентября прислал ещё 99,04 ETH. На кошельке оказалось 2 333,6 ETH, около $6,2 млн, и два дня с него ничего не уходило.
Обновление 26–28 сентября: в Tornado Cash
26 сентября кошелёк-копилка отправил 662 ETH на новый адрес 0xa31BB1FDF3409CE863bF646B69E6013ca74c38e3; тот передал 111,1 ETH на 0xAdb82eef7baa2fEaEbE64f88577C06F803A2C578 и вернул 552 ETH обратно. Оттуда 110 ETH ушли в Tornado Cash 26 и 27 сентября.
28 сентября между 08:01 и 08:05 UTC копилка отправила 1 252 ETH на ещё один новый адрес, 0x6495AFaeb766E59F3B725e6eF6E5622b44B272c3. За 30 минут деньги ушли дальше на 0x56644f6A348A142d38Fb7Dde2e942c9ef03D09Fc, а оттуда в Tornado Cash 18 депозитами: двенадцать по 100 ETH и шесть по 10 ETH, 1 260 ETH.
Всего в Tornado Cash ушло 1 370 ETH. 973,5 ETH по-прежнему на 0x8dB9D7f0a03d212c566Ca80c66e294CeCC20C306. Схема (пробный перевод, новый кошелёк, затем фиксированные суммы Tornado) повторилась оба раза, так что остаток, скорее всего, пойдёт тем же путём.
Самих атакующих тоже атакуют. Десятки адресов-двойников с теми же первыми и последними символами присылают на их кошельки нулевые переводы и поддельные токены с названием «ETH». Это отравление адресов, расчёт на того, кто следующим скопирует адрес из истории. Здесь это не учитывается.
Чего эта страница не утверждает
Она никого не называет. Duelbits уже взламывали в феврале 2024 года; тот атакующий, 0x3933924faf011ae8d24e44bee450b3d78e46a666, собрал 1 760 ETH и 29 мая 2024 года отправил всё в Tornado Cash. Ни одного адреса атакующего 2026 года в двух шагах от того следа мы не нашли; это ни подтверждает, ни исключает, что действовал тот же человек. Кошелёк, оплативший газ транзитного кошелька, пополнен с одноразового адреса без истории.
209 BNB в BNB Chain и 8,1 BTC в Bitcoin здесь не прослежены.
Все адреса атакующего на этой странице помечены в графе рисков PublicAML, и любой сервис, который проверяет адреса по нашей базе, их увидит. Кошелёк-копилка проверяется каждые десять минут, страница будет обновлена, когда он снова сдвинется.
Источники: данные Ethereum (Blockscout), TRON (TronGrid), Solana (публичный RPC) и моста Relay, считаны 25 сентября 2026 года и повторно 29 сентября 2026 года; ранние оценки и суммы в BNB Chain и Bitcoin по данным ScamSniffer, PeckShield, CoinDesk, Gate и Mpost. Долларовые суммы по цене ETH на 25 сентября. Это информационный материал о транзакциях между адресами, а не финансовый или юридический совет, и он никого не называет виновным.