Сеть краж с iPhone не остановилась: 734 424 USDT с 21 кошелька TRON после отчёта Bitquery, 601 751 из них 7 ноября

Отчёт Bitquery от 5 ноября начался с одной кражи, которую описал владелец iPhone, и нашёл ту же схему на 365 кошельках TRON с 5 октября по 4 ноября. Кошелёк для комиссий TUYFAa8hHjeEW6bPqBJ4v3RjQR2uKM1Svk или профинансированный им сборщик присылает жертве несколько TRX. Через секунды весь баланс USDT жертвы уходит на сборщик, который живёт день-два, а следом уходит и остаток TRX. Сборщики меняют USDT на USDD на минте USDD и выводят деньги через CCE Cash (до 25 октября), затем через deBridge и NEAR Intents. Bitquery насчитал не меньше $4,06 млн в USDT с 365 кошельков и ещё $103 тыс. в восьми других сетях. Отчёт связывает кражи с телефоном, а не с каким-либо кошельком. Исследователи описывают инструменты взлома iPhone (DarkSword, Coruna), которые ищут сид-фразы на телефоне. Обновления iOS 18.7.7 и 26.3 закрывают эти уязвимости. Данные Bitquery заканчиваются утром 5 ноября.

Кошелёк для комиссий не затих. 5 ноября в 19:35 UTC он отправил 10 TRX, а затем 5 TRX на TEkFvMxHb8MZ5ibn2KvxykofxF8rTjFKxr, кошелёк, которым пользуются с июня. В 19:36:36 его 3 994,92 USDT одним платежом ушли сборщику, созданному тем же вечером: TJbCvACEpEMVwi2zYGXuoT2HSBnFLosVLz. В 21:18 то же произошло со вторым кошельком: 13,5 TRX от кошелька для комиссий, а через 21 секунду его 350,15 USDT ушли тому же сборщику. За ночь этот сборщик опустошил ещё несколько кошельков с токенами WIN и NFT. 6 ноября он передал 5 791,85 USDT посреднику TLVpM9gLCAXaMqe1Wv2EwbMc1aystXeZ7J, а тот заплатил TRX обратно кошельку для комиссий.

Второй сборщик, TAgpYPQNdA9SCFfe2RgkaH8kkb7JZTaDcV, появился 6 ноября в 17:31 UTC и проработал сутки. Он забрал деньги с 17 кошельков, восьми из них перед этим прислав от 5 до 20 TRX на комиссию. Две самые крупные кражи были 7 ноября. В 12:56 UTC он отправил 20 TRX на TFhvXEBmKCUNS6RpxGPUJocX8iJ7Gc2Tto и 13 TRX на TH1Q7LXz1vkx6UCYMxCBVpaD6AZWbrAwfH. Через 18 и 54 секунды они прислали ему 49 440,25 USDT и 50 010 USDT. В 17:32 UTC он заплатил 6,65 TRX кошельку для комиссий. На каждом из 21 учтённого кошелька сейчас 0 USDT. Трёх отправителей мы не учли: это оживлённые кошельки, на которых и сейчас крупные балансы.

В 17:02:27 UTC TXPryvpXUqruHnx4hbgXrDYKN8wTkfMq73 отправил весь баланс, 601 751,60 USDT, сборщику, которого минутой раньше не существовало: TJCY7r7shYmy3yWncGB9MvwWa8QS6du2C5. Этот кошелёк впервые получил деньги в октябре 2021 года и почти не двигался с 2023-го. Через 15 секунд следом ушли его 766,50 TRX. У этой жертвы было достаточно своих TRX, поэтому пополнение не понадобилось. Через четыре минуты, в 17:06:42, кошелёк для комиссий TUYFAa8hHjeEW6bPqBJ4v3RjQR2uKM1Svk прислал новому сборщику 30 TRX. Этот платёж и связывает сборщика с сетью.

С 17:10 до 17:14 UTC сборщик обменял 601 721 USDT на USDD на минте USDD (TSUYvQ5tdd3DijCD1uGunGLpftHuSZ12sQ) семью обменами от 51 721 до 100 000. USDT выпускает Tether, и он может заморозить его на любом адресе. USDD — другой стейблкоин, его Tether заморозить не может.

В 18:20 UTC сборщик отправил 120 000 USDD на TJPPRcxoboMkhpKdKgvcCEdjwbHJjSpb2G, кошелёк, активированный в тот же день в 12:48 UTC. За три минуты тот погасил USDD в USDT на минте, тут же обменял USDT обратно в USDD и двумя платежами отправил USDD на второй кошелёк, TJLsZ7jbbDSUECJGM19QC6B6wPwa4Bed4c, активированный через минуту после первого. Второй снова погасил их в USDT и выплатил на TFG4wBaDQ8sHWWP1ACeSGnoNR6RRzevLPt частями 50 000, 50 000 и 20 000 с 18:25 до 18:32. В 18:56 сборщик отправил тем же путём следующие 120 000 USDD. Первый транзитный кошелёк в тот же день уже пропустил через себя 142 727 USDD от сборщика 6 ноября. Всего второй транзитный кошелёк 7 ноября выплатил оживлённому кошельку 282 727 USDT. В 19:10 UTC на сборщике ещё лежали 361 721 USDD.

Круги через минт ничего не добавляют. Они меняют, какой токен на каком адресе лежит, и тот, кто следит только за переводами USDT, видит деньги, пришедшие с минта, а не от жертвы. На оживлённом кошельке TFG4wBaDQ8sHWWP1ACeSGnoNR6RRzevLPt около 20 млн USDT и много контрагентов. Он похож на OTC-сервис или кошелёк какого-то сервиса, а не на сборщик воров, и мы его не помечали. Его владелец знает, какому клиенту зачислены 282 727 USDT.

Мы внесли в базу PublicAML одним инцидентом кошелёк для комиссий, трёх новых сборщиков, два транзитных кошелька, посредника 6 ноября и четырёх сборщиков из отчёта Bitquery. Теперь любая проверка этих адресов или кошельков, которые с ними торгуют, покажет связь. Жертв мы не помечали. Около 18:40 UTC 7 ноября мы попросили Tether заблокировать оба транзитных кошелька: до сих пор каждая партия оставшихся USDD проходила через них в виде USDT. Адрес сборщика мы отправили стороне USDD. Мы следим за сборщиком и обновим страницу, когда USDD двинутся.

Тревожный знак — незнакомый адрес, приславший вам несколько целых TRX: в этой сети такой платёж приходил за секунды до каждой кражи. Боты отравления адресов присылают пыль, а не целые TRX. Если это случилось, а USDT ещё на месте, сразу переведите их на новый кошелёк с новой сид-фразой, созданный на доверенном устройстве. Переведите и то, что лежит в других сетях: одна сид-фраза открывает их все. Обновите iOS (18.7.7 или 26.3 и новее) и не храните сид-фразу на телефоне: никаких фото, заметок и скриншотов. Если вас обокрали, проверьте свой адрес на PublicAML и сообщите в Tether и на биржу, куда пришли деньги. Не отвечайте тем, кто предлагает вернуть их за плату.

Она не называет того, кто управляет сетью, не говорит, каким телефоном или кошельком пользовалась каждая жертва, и не утверждает, что Apple, Trust Wallet, Tether, эмитенты USDD или владелец оживлённого кошелька в чём-то виноваты. Общий кошелёк для комиссий связывает кражи деньгами. Это не доказывает, что всеми кражами управляет один человек. Сеть, её первые 365 жертв и связь с iPhone — выводы Bitquery. Кражи после 5 ноября, вывод 7 ноября и балансы — собственное прочтение блокчейна TRON сотрудниками PublicAML 7 ноября 2026 года, с 17:00 до 19:10 UTC. Мы считаем кошелёк жертвой, если один платёж сборщику забрал все его USDT и сейчас на нём ничего нет, поэтому 734 424 USDT — нижняя оценка.