Tornado Cash, июль–сентябрь 2026: девять краж, которые мы проследили, завели в миксер 18 391 ETH

Bonzo Lend — 4 571,1 ETH. Крупнейший кредитный рынок Hedera потерял около $9 млн 11 июля. Деньги перешли в Ethereum через LayerZero, Relay и Across и ушли в Tornado 63 депозитами: 4 405 ETH в тот же день, остаток 14 июля.

Summer.fi — 3 294,2 ETH. Атака с мгновенными займами 6 июля унесла 6 млн DAI. Их продали за эфир через собственный контракт взломщика, эфир приходил на второй кошелёк, и тот сделал 56 депозитов с 7 по 22 июля.

Term Labs — 3 253 ETH. Голосование, в котором почти никто не участвовал, 23 августа отдало хранилища атакующему. Эфир пролежал двенадцать дней и целиком ушёл 4–5 сентября. Первая публичная трассировка насчитала 960.

Tectonic — 2 658,9 ETH. После взлома 30 августа в Cronos и отката сети, вернувшего большую часть потерь, то, что уже успело уйти в Ethereum, 3 сентября зашло в Tornado 48 депозитами.

Duelbits — 1 370 ETH. Горячие кошельки казино опустошили в пяти сетях 24 сентября. Через два дня собранный эфир начали заводить через четыре свежих кошелька. 1 011,55 ETH на 4 октября оставались на кошельке атакующего.

Aztec, взлом 17 июня — 1 148 ETH за квартал. Самый медленный из девяти: 145 ETH 1 июля, 300 — 7–8 августа, 503 — 15 августа, 200 — 26 августа, каждый раз через одноразовый кошелёк. Вместе с 10 ETH в июне это все украденные 1 158 ETH.

Поддельный мост GIWA — около 765 ETH. Депозиты 1 331 кошелька, выведенные собственным кошельком моста с двумя подписями 27 сентября и оказавшиеся в миксере за 27 часов.

Payy — около 682 ETH. USDC, выпущенные по поддельному доказательству 24 сентября, обменяли на эфир и примерно за час внесли 26 сентября.

Coldcard — 649 ETH. Единственная часть кражи биткоинов, дошедшая до Ethereum через THORChain: 73 депозита 3–4 сентября. Остальные 1 038,85 BTC не двигались.

От кражи до первого депозита в Tornado: Bonzo Lend — около 10 часов после поступления первых украденных денег в Ethereum, Summer.fi — 21 час до первого депозита и шестнадцать дней до последнего, GIWA — 27 часов, Payy и Duelbits — два дня, Tectonic — четыре дня, Term Labs — двенадцать дней, Coldcard — пять недель, Aztec — шесть дней до первых 10 ETH и десять недель до последнего депозита.

Больше половины из 18 391 ETH пришло из краж, которые целиком оказались в миксере за четыре дня. Это и есть окно, в котором биржа, мост или эмитент ещё могут что-то сделать. Во всех случаях к этому моменту деньги уже были эфиром: стейблкоины и обёрнутый биткоин сначала меняли, потому что эфир не может заморозить никто.

Депозиты идут кучно. 3–5 сентября три не связанные кражи — Term Labs, Tectonic и Coldcard — за три дня завели в одни и те же пулы 6 561 ETH. 26–28 сентября Duelbits, Payy и GIWA добавили 2 817 ETH. А одно только 11 июля приняло 4 405 ETH от Bonzo. Депозит, сделанный в такой день, прячется среди депозитов других воров, а не обычных пользователей.

Почти всё прошло через самый крупный пул. Bonzo сделал 45 депозитов по 100 ETH, Duelbits — двенадцать, кошельки Aztec — десять. Пулы поменьше — на 10, 1 и 0,1 ETH — использовались для остатков. У атакующего, который хочет уйти быстро, реальной альтернативы нет: 4 571 ETH через пул на 10 ETH — это 457 транзакций.

С Tornado же многие из этих историй и начались. Кошелёк Bonzo получил первый эфир из пула на 1 ETH за три часа до прихода украденных денег; первый кошелёк Aztec пополнили из пула на 0,1 ETH за три часа до взлома; газ для атаки на хранилище в Base пришёл так же. Свежий кошелёк, первая транзакция которого — вывод из Tornado, а через несколько часов — крупное поступление, сам по себе стоит оповещения.

Крупнейшие кражи квартала им не пользовались вовсе. 68 465 ETH Bitget ушли через THORChain и мосты за пять дней. Небольшие суммы пробовали Railgun: 46 ETH из взлома Limit Break зашли и остались, а 19 ETH атакующего Nostra в течение часа вернулись на тот же адрес. И заметная часть просто ждёт: 909 ETH первого взлома Aztec, 1 011,55 ETH Duelbits, 794 ETH Neutron, 433 ETH Fetch.ai. Эти адреса стоят у нас на наблюдении.

Это не весь приток в Tornado Cash за квартал, и об обычных его пользователях страница ничего не говорит. Это сумма девяти инцидентов, которые мы сами проследили до депозита; каждая цифра подтверждена адресами и транзакциями на странице по ссылке. Краж, которые мы не трассировали, здесь нет. Долларовая оценка — по $2 717 за ETH, цене на 5 октября 2026 года.

Проверить любой адрес по этим делам можно на странице проверки адреса.