Фальшивый мост GIWA: 1 331 кошелёк внёс деньги, все 766 ETH ушли в Tornado Cash
PublicAML · Ончейн-расследование · 29 сентября 2026
26–27 сентября 2026 года кто-то поднял фальшивый «мейннет GIWA» — копию ещё не запущенного L2 от Upbit — со своим RPC и мостом, и DyorSwap его залистил. Люди переводили настоящий ETH из Ethereum, чтобы зайти пораньше. Мы насчитали 1 331 кошелёк, отправивший в фальшивый мост 2 136 депозитов за тринадцать часов. 27 сентября в 07:29 UTC владельцы моста забрали всё, что в нём было, — 766,25 ETH (около $2 млн). К утру 28 сентября всё ушло в Tornado Cash пятью ветками.
1 331
кошелёк внёс деньги в фальшивый мост, 26–27 сентября
766,25 ETH
забрал собственный мультисиг моста 2 из 2
~765 ETH
в Tornado Cash за 27 часов, пятью ветками
1,86 ETH
внесли уже после кражи, застряли в мосту
Как это работало
Мост 0xbA9938C0b96A70E6479661B915e7E481fE435ab2 был прокси, указывавшим на настоящий код OptimismPortal, поэтому в обозревателе он выглядел как обычный мост OP-stack. Важно было другое — кто может его менять: мультисиг Gnosis Safe 2 из 2, 0xccC2aeCf5d24f0eA30cf81Ec0dBEC59F19DdCD10, с владельцами 0x119e68B59C44291F76324c76377B776D0b4Dd38c и 0x0f3498258819bECE3F47661B3E331BD36c1CF857. Первый владелец развернул оба контракта 26 сентября между 18:07 и 18:10 UTC. Первый депозит пришёл в 18:18.
27 сентября в 07:29 UTC оба владельца подписали одну транзакцию: она подменила код моста своим, отправила весь его баланс — 766,25 ETH — на 0x04a9c8D8FEe491411Bda28b68aD80F0122Fc4134 и вернула код обратно, всё за один шаг. Первым эту транзакцию показал @apoorveth; блокчейн это подтверждает.
GIWA заявила, что её мейннет не запущен и её контракты не затронуты. DyorSwap заявила, что её контракты не взломаны, и начала компенсировать пользователям из казны (по её словам, больше 200 ETH).
Куда ушли 766 ETH
Через несколько минут кошелёк-получатель начал делить ETH. 0x04a9c8D8FEe491411Bda28b68aD80F0122Fc4134 отправил 227 ETH прямо в Tornado Cash, 287 ETH через 0xEC160acd00D95EbbBE0394161101eb577CA96b60 и 251 ETH на 0x8c563fc543f6ecC2C8c09eB09D82798f7a7F3dA4, который передал их 0xd5af44dd7c5F0e8C95d88713bfaBCc351E06A8Ee. Тот внёс в Tornado 190 ETH и отправил последние 60 ETH на 0xCc028B20Bdfcb1bFa5f48bBa0f935574Fb2CbA64; тот внёс 30 ETH и передал 30 на 0x9cBAD8669bd9964BE71BC99e1725dF1c67949a70 для трёх последних депозитов 28 сентября.
Замораживать нечего: всё, кроме газа, ушло в Tornado Cash к 11:18 UTC 28 сентября. На кошельки, через которые шли деньги, теперь приходят поддельные токены «ETH» с адресов-двойников — это отравление адресов, здесь не учитывается.
| Когда (UTC, 2026) | Откуда | Куда | Сумма | Транзакция |
|---|---|---|---|---|
| 26 Sep 18:10 | 0x119e68…4Dd38c | 0xbA9938…435ab2 | bridge deployed фальшивый мост создан | 0x151466…3e0c9a |
| 27 Sep 07:29 | 0xbA9938…435ab2 | 0x04a9c8…Fc4134 | 766.25 ETH владельцы опустошили мост | 0x1f3c0a…dc7306 |
| 27–28 Sep | 0x04a9c8…Fc4134 | 0xd90e2f…24F31b | 227.1 ETH в Tornado Cash | 0x20f541…57bbeb |
| 27 Sep 08:21–16:38 | 0xEC160a…A96b60 | 0xd90e2f…24F31b | 287.8 ETH в Tornado Cash | 0x33a295…1dae9d |
| 27 Sep 07:41 | 0x04a9c8…Fc4134 | 0x8c563f…7F3dA4 | 251 ETH транзитный кошелёк | 0x3429ea…9120b2 |
| 28 Sep 05:51–11:18 | 0xd5af44…06A8Ee | 0xd90e2f…24F31b | 190 ETH в Tornado Cash | 0xafa00e…d34003 |
| 28 Sep 09:20–10:52 | 0x9cBAD8…949a70 | 0xd90e2f…24F31b | 30 ETH в Tornado Cash | 0xaaf77c…7fe52b |
Чего эта страница не утверждает
Она никого не называет. Газ, на который развернули Safe и мост, пришёл с оживлённого кошелька без метки, похожего на горячий кошелёк обменного сервиса; это зацепка для сервиса, а не обвинение в его адрес.
Около 16,7 ETH из 766 попали в мост через контракты, а не напрямую с кошельков людей, поэтому реальное число вкладчиков несколько больше 1 331.
Все десять адресов с этой страницы перечислены на нашей странице инцидента, так что любой, кто проверит один из них, найдёт это дело.
Источники: данные Ethereum (Blockscout), владельцы и порог Safe считаны напрямую из контракта 29 сентября 2026 года; транзакция опустошения — как её первым показал @apoorveth; заявления GIWA и DyorSwap от 27 сентября. Долларовые суммы по цене ETH конца сентября. Это информационный материал о транзакциях между адресами, а не финансовый или юридический совет, и он никого не называет виновным.