Взлом Premia: 191,8 ETH меньше чем за час превратились в 5,27 BTC, и 4 BTC из них в то же утро ушли на депозиты HitBTC

Premia — опционный протокол; его «хранилища андеррайтеров» v3 используют залог вкладчиков для продажи опционов через опционные пулы. 1 ноября 2026 года шесть таких хранилищ в Arbitrum (WBTC, WETH и ARB, коллы и путы) лишились большей части залога, который держали напрямую. Схему описала Blockaid: атакующий создал пустые опционные пулы, на флэш-кредиты купил опционы так, что залог хранилищ заблокировался в этих пулах, а затем вывел этот залог как ликвидность пула — хранилища доверяли любому новому пулу. Оценки ущерба — от $400 500 (Blockaid, во время атаки) и $437 000 (The Defiant) до $464 600 (PeckShield). На момент публикации Premia не выпустила разбор инцидента. PeckShield сообщил, что средства ушли в Ethereum и были обменяны на биткоин через Chainflip и NEAR Intents.

Кошелёк атакующего 0xbeBa8CEfD0D75d747C5AD966Dc17C0Bb60D84dBd получил газ в Arbitrum в 01:28 UTC через мост MetaMask, развернул контракт атаки 0x577168c8c6fa937495c3d6961f1d7d734b2d785f в 03:14:36 и вызвал его в 03:14:37. Через минуту, в 03:15:39 и 03:15:40, контракт выплатил кошельку 43,24 ETH и 148,54 ETH — всего 191,78 ETH. WBTC и ARB из хранилищ уже были обменяны на ETH внутри контракта; ничего другого заметного на кошельке не было.

С 03:18 до 03:31 UTC кошелёк разослал 191,78 ETH в Arbitrum на девять адресов круглыми суммами. 30 ETH ушли в два депозитных канала Chainflip и вышли биткоином. 20 ETH ушли на депозитный адрес NEAR Intents и тоже вышли биткоином. 131,82 ETH ушли ещё на шесть депозитных адресов NEAR Intents с заданием доставить ETH в Ethereum — на тот же кошелёк; горячий кошелёк NEAR Intents 0x2CfF890f0378a11913B6129B2E97417a2c302680 выплатил туда 131,57 ETH с 03:26 до 03:31. Последние 10 ETH ушли на депозитный адрес кроссчейн-сервиса: его контракт-сборщик обменял их на 22 639,78 USDC и сжёг через CCTP от Circle с адресатом в Solana, где USDC выпущены в 03:19:29 и через тринадцать секунд переправлены на кошелёк JEJGkbBaoas7soCcTXK67q9VZ9rg3wJWSLEfj83ZgZi9, который делает сотни транзакций в день, — это кошелёк сервиса, а не атакующего.

В Ethereum с 03:32 до 03:44 UTC 131,5 ETH ушли пятью круглыми суммами: 81,5 ETH в три депозитных канала Chainflip (0x7Dd0f781655a628AcEB44ce07f2F5e9a641E048A, 0x23eb7AEEA82cbF9CB37fD16420a1074ba1073125, 0x53DF77e44a66212E7BC674354c7ED0bCA1871918, все пересылают в хранилище Chainflip 0xF5e10380213880111522dd0efD3dbb45b9F62Bcc) и 50 ETH на два депозитных адреса NEAR Intents. Оба сервиса публикуют статус свопа: API Chainflip и API 1Click от NEAR Intents возвращают актив и адрес назначения по каждому депозиту. Все восемь депозитов, ушедших в биткоин, так и сделали — пять через Chainflip на 3,2317 BTC, три через NEAR Intents на 2,0363 BTC, — каждый на новый адрес bc1q. Все свопы Chainflip шли через один брокерский аккаунт с комиссией 0,3%.

Восемь выплат пришли с 03:25 до 04:15 UTC. Каждую потратили в тот же день, почти всегда на ровный кусок и сдачу: 1,0 или 0,5 BTC на новый адрес, остаток — на адрес сдачи, который потом объединялся с другой сдачей. Шесть ровных кусков — два по 1,0 BTC и четыре по 0,5 BTC, всего 4,0 BTC — ушли на адреса, которые сами ничего не тратили. В 09:29 UTC все шесть были собраны вместе с 523 другими входами в одну транзакцию на 27,35 BTC на bc1qdfl3dfnwwvlqa5jpckh0ccwpjczh5y566c4g76 — горячий кошелёк биржи HitBTC. Так биржа собирает депозитные адреса клиентов: эти шесть — депозиты HitBTC, и в то утро 4,0 BTC были зачислены на один или несколько аккаунтов HitBTC.

Ещё около 1,1 BTC ушли тремя свопами с меткой OP_RETURN, начинающейся на «=|lifi», — так маршрутизация LI.FI помечает биткоин-депозиты; около 1 BTC (0,5 BTC на bc1qkvwph7r683m7qkrz09k7p369a8lyk4q58200ca, 0,35 BTC на bc1q09dez4x32zp27jhg6xffxwdc0mxx07pjxvd0l8 и два небольших taproot-выхода) пока не прослежены. 4 ноября атакующий отправил 0,09 ETH с опустевшего кошелька в Ethereum через THORChain на 0xfa3C17e19F433Cc13820C930957428288250Da17 в сети Base — это газ для следующего шага там.

В некоторых ранних сводках говорилось, что атакующий обменял средства на SOL, что Mayan и Relay заморозили около $280 000 и что 251 ETH лежат без движения на адресе в Ethereum. В движениях этого кошелька в Arbitrum и Ethereum мы не нашли ни свопа в SOL, кроме описанной выше ветки на 10 ETH в USDC, ни переводов через Mayan или Relay, ни кошелька с оставшимся ETH: к 03:44 UTC 1 ноября на кошельке было 0,07 ETH на газ. Если заморозка и была, то не на этом пути.

Она не называет атакующего и не утверждает, что Premia, Chainflip, NEAR Intents, Circle, LI.FI, THORChain или HitBTC в чём-то виноваты: сервисы обмена исполнили валидные депозиты, а биржа не видит, что приходит на депозитный адрес, до зачисления. Она не описывает уязвимость хранилищ сверх опубликованного Blockaid. Оценки ущерба — от Blockaid, The Defiant и PeckShield; маршруты, адреса назначения свопов, дробление в биткоине, сбор HitBTC и балансы — собственное прочтение блокчейна PublicAML на 7 ноября 2026 года. Аккаунт HitBTC за шестью депозитами — единственная зацепка, которая упирается в организацию, способную установить клиента.