Tectonic: ветка мимо Tornado — 232 XMR1 до сих пор лежат на Hyperliquid

Tectonic — крупнейший кредитный рынок на Cronos. 30 августа атакующий поднял цену малоликвидного токена TONIC примерно в 300 раз, заложил его и занял $120,4 млн на девяти рынках. Валидаторы Cronos остановили сеть и перезапустили её с более раннего блока, что отменило большую часть кражи: вернулось $111,2 млн. То, что уже ушло через мост в Ethereum, не вернулось.

rekt.news назвал 0xc404160B79BD8905061a1cAecBeCa2EEab3f72DD кошельком, на который атакующий принимал средства в Ethereum. 30 августа с 12:59 до 14:15 UTC на него пришли около 6,3 млн USDC через Relay и Circle, и он обменял их на Uniswap за 34 сделки — вместе с 29 ETH, пришедшими напрямую, это те самые 2 592 ETH из публикаций. 2 сентября пришла вторая волна: около 207 ETH от одиннадцати отправителей, из них 70,6 ETH — с 0xfDb11781ee3818135eebd2acd2247C263e266652, выходного кошелька моста, который тоже называет rekt.news.

3 сентября с 20:28 до 21:14 UTC кошелёк положил в роутер Tornado Cash 2 658,9 ETH в 48 депозитах. Эта часть потеряна.

31 августа в 23:55 UTC, ещё до всего этого, кошелёк отправил пробные 0,1 ETH, а затем 140 ETH на 0x6dF89C42f0ABdfAA2B5b77EdCdAFbc945eD6Ee6c. Через несколько минут в его истории появились похожие адреса, начинающиеся на 0x6dF8 и заканчивающиеся на 6eE6c, с фальшивыми токенами «ETH» и «USDC», — это боты отравления адресов копировали получателя, а не атакующий. Настоящая ветка разделилась на две части.

В Bitcoin — около 90 ETH. 58,2 ETH прошли через 0x7560E936a6978aD4ecDA6b395f4c7D1c65F8A595, а 32 ETH напрямую ушли в мост Relay, который выплатил 1,80 BTC и 0,99 BTC на два новых taproot-адреса. Оба были потрачены в тот же день, в течение нескольких часов, в транзакции с сотнями входов и выходов фиксированных номиналов — coinjoin в духе Wasabi. На этом след в Bitcoin обрывается.

На Hyperliquid — 49,9 ETH. Шесть новых кошельков получили 1 и 2 сентября от 5 до 16,9 ETH каждый. Это не собственные кошельки атакующего. Каждый получил ровно 0,0075 ETH газа от 0xAe06669dfd3e932476F00ea49fCE82E5E63f83Bf — газ-станции Wagyu.xyz, сервиса обмена криптовалюты в Monero без KYC, — и каждый мост с них помечен в LI.FI интегратором Wagyu. Это адреса заказов, которые Wagyu создаёт под обмен: атакующий оплатил в ETH шесть заказов Wagyu на покупку Monero. Каждый перевёл свой ETH через LI.FI — пять через Mayan, один через Layerswap — на свой же адрес в Arbitrum, где пришло в сумме 121 631 USDC, и в течение нескольких минут завёл их на Hyperliquid через контракт Bridge2. На Hyperliquid каждый аккаунт купил XMR1 — токен Monero, который выпускает Wagyu.xyz.

По данным Hyperliquid на 23 сентября 2026 года, на шести адресах заказов вместе лежит 232,0 XMR1 — около $130 000 по рыночной цене $563 — и они не доставлены. Поскольку адреса принадлежат Wagyu, XMR1 не в руках атакующего: они лежат в шести заказах, которые Wagyu не исполнил. После доставки на Monero-адрес атакующего проследить деньги уже нельзя.

Опубликованная политика Wagyu: активы замораживаются только по решению суда, но адреса, подозреваемые в незаконной деятельности, могут быть заблокированы. До публикации мы отправили Wagyu шесть адресов и маршрут, а то же самое — Tectonic, которому и нужно добиваться такого решения.

Все двенадцать адресов этого следа — принимающий кошелёк, выход моста, ветка, промежуточный кошелёк, два адреса Bitcoin и шесть адресов заказов Wagyu — помечены в PublicAML как связанные со взломом Tectonic. Через адреса заказов шли только деньги атакующего; саму газ-станцию Wagyu мы не помечали.