Фальшивый мост GIWA: 1 331 кошелёк внёс деньги, все 766 ETH ушли в Tornado Cash

PublicAML · Ончейн-расследование · 29 сентября 2026

26–27 сентября 2026 года кто-то поднял фальшивый «мейннет GIWA» — копию ещё не запущенного L2 от Upbit — со своим RPC и мостом, и DyorSwap его залистил. Люди переводили настоящий ETH из Ethereum, чтобы зайти пораньше. Мы насчитали 1 331 кошелёк, отправивший в фальшивый мост 2 136 депозитов за тринадцать часов. 27 сентября в 07:29 UTC владельцы моста забрали всё, что в нём было, — 766,25 ETH (около $2 млн). К утру 28 сентября всё ушло в Tornado Cash пятью ветками.

1 331

кошелёк внёс деньги в фальшивый мост, 26–27 сентября

766,25 ETH

забрал собственный мультисиг моста 2 из 2

~765 ETH

в Tornado Cash за 27 часов, пятью ветками

1,86 ETH

внесли уже после кражи, застряли в мосту

Как это работало

Мост 0xbA9938C0b96A70E6479661B915e7E481fE435ab2 был прокси, указывавшим на настоящий код OptimismPortal, поэтому в обозревателе он выглядел как обычный мост OP-stack. Важно было другое — кто может его менять: мультисиг Gnosis Safe 2 из 2, 0xccC2aeCf5d24f0eA30cf81Ec0dBEC59F19DdCD10, с владельцами 0x119e68B59C44291F76324c76377B776D0b4Dd38c и 0x0f3498258819bECE3F47661B3E331BD36c1CF857. Первый владелец развернул оба контракта 26 сентября между 18:07 и 18:10 UTC. Первый депозит пришёл в 18:18.

27 сентября в 07:29 UTC оба владельца подписали одну транзакцию: она подменила код моста своим, отправила весь его баланс — 766,25 ETH — на 0x04a9c8D8FEe491411Bda28b68aD80F0122Fc4134 и вернула код обратно, всё за один шаг. Первым эту транзакцию показал @apoorveth; блокчейн это подтверждает.

GIWA заявила, что её мейннет не запущен и её контракты не затронуты. DyorSwap заявила, что её контракты не взломаны, и начала компенсировать пользователям из казны (по её словам, больше 200 ETH).

Куда ушли 766 ETH

Через несколько минут кошелёк-получатель начал делить ETH. 0x04a9c8D8FEe491411Bda28b68aD80F0122Fc4134 отправил 227 ETH прямо в Tornado Cash, 287 ETH через 0xEC160acd00D95EbbBE0394161101eb577CA96b60 и 251 ETH на 0x8c563fc543f6ecC2C8c09eB09D82798f7a7F3dA4, который передал их 0xd5af44dd7c5F0e8C95d88713bfaBCc351E06A8Ee. Тот внёс в Tornado 190 ETH и отправил последние 60 ETH на 0xCc028B20Bdfcb1bFa5f48bBa0f935574Fb2CbA64; тот внёс 30 ETH и передал 30 на 0x9cBAD8669bd9964BE71BC99e1725dF1c67949a70 для трёх последних депозитов 28 сентября.

Замораживать нечего: всё, кроме газа, ушло в Tornado Cash к 11:18 UTC 28 сентября. На кошельки, через которые шли деньги, теперь приходят поддельные токены «ETH» с адресов-двойников — это отравление адресов, здесь не учитывается.

Когда (UTC, 2026)ОткудаКудаСуммаТранзакция
26 Sep 18:100x119e68…4Dd38c0xbA9938…435ab2bridge deployed
фальшивый мост создан
0x151466…3e0c9a
27 Sep 07:290xbA9938…435ab20x04a9c8…Fc4134766.25 ETH
владельцы опустошили мост
0x1f3c0a…dc7306
27–28 Sep0x04a9c8…Fc41340xd90e2f…24F31b227.1 ETH
в Tornado Cash
0x20f541…57bbeb
27 Sep 08:21–16:380xEC160a…A96b600xd90e2f…24F31b287.8 ETH
в Tornado Cash
0x33a295…1dae9d
27 Sep 07:410x04a9c8…Fc41340x8c563f…7F3dA4251 ETH
транзитный кошелёк
0x3429ea…9120b2
28 Sep 05:51–11:180xd5af44…06A8Ee0xd90e2f…24F31b190 ETH
в Tornado Cash
0xafa00e…d34003
28 Sep 09:20–10:520x9cBAD8…949a700xd90e2f…24F31b30 ETH
в Tornado Cash
0xaaf77c…7fe52b

Чего эта страница не утверждает

Она никого не называет. Газ, на который развернули Safe и мост, пришёл с оживлённого кошелька без метки, похожего на горячий кошелёк обменного сервиса; это зацепка для сервиса, а не обвинение в его адрес.

Около 16,7 ETH из 766 попали в мост через контракты, а не напрямую с кошельков людей, поэтому реальное число вкладчиков несколько больше 1 331.

Все десять адресов с этой страницы перечислены на нашей странице инцидента, так что любой, кто проверит один из них, найдёт это дело.

Источники: данные Ethereum (Blockscout), владельцы и порог Safe считаны напрямую из контракта 29 сентября 2026 года; транзакция опустошения — как её первым показал @apoorveth; заявления GIWA и DyorSwap от 27 сентября. Долларовые суммы по цене ETH конца сентября. Это информационный материал о транзакциях между адресами, а не финансовый или юридический совет, и он никого не называет виновным.