Взлом Duelbits: пять сетей слиты в один кошелёк, 1 370 ETH уже в Tornado Cash

Первый вывод ушёл с горячего кошелька казино в BNB Chain в 08:19 UTC 24 сентября; TRON — примерно в 08:58, кошелёк в Solana был пуст к 09:00, в Ethereum к 09:02. В этих транзакциях нет необычных вызовов контрактов: это обычные переводы, подписанные самими кошельками. Тот, кто их отправил, держал ключи подписи сразу от всех сетей, поэтому аналитики говорят о компрометации приватных ключей. Duelbits причину не публиковала, и эта страница её не угадывает.

Ранние оценки в $4,2–4,3 млн (ScamSniffer, PeckShield) охватывали только первые три сети; позже ScamSniffer добавил 209 BNB в BNB Chain и 8,1 BTC в Bitcoin, а сооснователь Duelbits говорил примерно о $7 млн. Около $6,2 млн в ETH, которые мы прослеживаем ниже, уже включают ветки BNB Chain и Bitcoin и близки к его цифре.

В Ethereum горячий кошелёк 0x014435B1E39945CF4f5F0c3cbb5833195A95CC9B (на Etherscan подписан «Duelbits») отправил 836 ETH, 593 430 USDT, 96 805 USDC, 31 515 DAI и 12,4 млрд SHIB на 0xA77e24Fe29d16E051e487ef4Ea7b056cb05aef76, адрес, который ScamSniffer пометил «Hacker (EVM)». Токены за несколько часов обменяли на ETH: стейблкоины эмитенты могут заморозить, ETH нет.

В TRON горячий кошелёк THqFmhAPcdHECH3wmrpZv4MWAB2v9TY1oN отправил 476 058 USDT на TAvraZZFCZbDSZoyqWWRRsBkFgZqKaCGbK. Их продали примерно за 1,39 млн TRX и перевели мостом Relay на тот же кошелёк в Ethereum 16 частями примерно по 100 000 TRX.

В Solana горячий кошелёк FoxqdkGRDZstVFA3wAyLnhua5ZB7jpoE36L3kcUAMqf4 потерял 5 294 SOL в пользу A3EBrhMBEGzcPgmbwywSPhW39G6PFGrorU8ib99T6yKw. Около 3 529 SOL ушли через Relay в Ethereum и пришли в виде ETH на 0xb5909F3539FE2733866BbdE2d3FfCA5c6292eBBF, затем прошли через 0x2A8D93C0096db4F68AFd8e007dee9cdCD4180E62 и 0x922ADc930Ceeaeda74AD9cA86474a753f7D8cD23.

В BNB Chain горячий кошелёк — тот же адрес, что и в Ethereum, 0x014435B1E39945CF4f5F0c3cbb5833195A95CC9B, и его опустошили первым: в 08:19 UTC 552 761,73 USDT и в 08:21 209 BNB ушли на тот же адрес атакующего, 0xA77e24Fe29d16E051e487ef4Ea7b056cb05aef76 (транзакции в BscScan 0x0a79ed0b…b885 и 0x56477897…1cd1). Эти USDT уже входили в раннюю сумму ScamSniffer — 1,62 млн USDT; разбивка по сетям наша. Всё обменяли на ETH в BNB Chain и вернули в Ethereum через deBridge семью заявками с 09:14 до 09:23 UTC: 263,5 ETH пришли на тот же адрес атакующего. Этот ETH вошёл в 1 577,88 ETH, которые ушли дальше на транзитный кошелёк.

Три сети связывает публичный журнал запросов моста Relay: в каждом запросе записан отправитель в исходной сети и получатель в Ethereum.

К 13:08 UTC 24 сентября три потока сошлись на 0x8dB9D7f0a03d212c566Ca80c66e294CeCC20C306: 1 601,17 ETH с транзитного кошелька 0x181A638038A4bD75c207d080DE83e217f8e8a1d7, 476,53 ETH со стороны Solana и 155 ETH с 0x6761c9b15815f4051773EDe39B42B95bdDB3EF1c, который 25 сентября прислал ещё 99,04 ETH. Через этот кошелёк прошёл биткоин: 8,1 BTC ушли с горячего кошелька Duelbits в Bitcoin на bc1qhtu84kz3y94lvgl2t05zk84tqh57grvd82zvcl в 09:42 UTC, в 09:55 были отправлены в Chainflip и вышли в Ethereum из хранилища Chainflip (0xF5e10380213880111522dd0efD3dbb45b9f62Bcc) как 253,76 ETH тремя выплатами с 09:58 до 14:42. На кошельке оказалось 2 333,6 ETH, около $6,2 млн, и два дня с него ничего не уходило.

26 сентября кошелёк-копилка отправил 662 ETH на новый адрес 0xa31BB1FDF3409CE863bF646B69E6013ca74c38e3; тот передал 111,1 ETH на 0xAdb82eef7baa2fEaEbE64f88577C06F803A2C578 и вернул 552 ETH обратно. Оттуда 110 ETH ушли в Tornado Cash 26 и 27 сентября.

28 сентября между 08:01 и 08:05 UTC копилка отправила 1 252 ETH на ещё один новый адрес, 0x6495AFaeb766E59F3B725e6eF6E5622b44B272c3. За 30 минут деньги ушли дальше на 0x56644f6A348A142d38Fb7Dde2e942c9ef03D09Fc, а оттуда в Tornado Cash 18 депозитами: двенадцать по 100 ETH и шесть по 10 ETH, 1 260 ETH.

Всего в Tornado Cash ушло 1 370 ETH. 973,5 ETH оставались на 0x8dB9D7f0a03d212c566Ca80c66e294CeCC20C306 на 29 сентября. Обновление 4 октября: с тех пор с него ничего не ушло. 30 сентября первый кошелёк атакующего прислал последние 38,02 ETH, и теперь на кошельке 1 011,55 ETH. Схема (пробный перевод, новый кошелёк, затем фиксированные суммы Tornado) повторилась оба раза, так что остаток, скорее всего, пойдёт тем же путём.

Самих атакующих тоже атакуют. Десятки адресов-двойников с теми же первыми и последними символами присылают на их кошельки нулевые переводы и поддельные токены с названием «ETH». Это отравление адресов, расчёт на того, кто следующим скопирует адрес из истории. Здесь это не учитывается.

Она никого не называет. Duelbits уже взламывали в феврале 2024 года; тот атакующий, 0x3933924faf011ae8d24e44bee450b3d78e46a666, собрал 1 760 ETH и 29 мая 2024 года отправил всё в Tornado Cash. Ни одного адреса атакующего 2026 года в двух шагах от того следа мы не нашли; это ни подтверждает, ни исключает, что действовал тот же человек. Кошелёк, оплативший газ транзитного кошелька, пополнен с одноразового адреса без истории.

Все адреса атакующего на этой странице помечены в графе рисков PublicAML, и любой сервис, который проверяет адреса по нашей базе, их увидит. Кошелёк-копилка проверяется каждые десять минут, страница будет обновлена, когда он снова сдвинется.