Взлом Triple-A: украденный эфир ушёл в DAI, вернулся в эфир и дважды прошёл через Tornado Cash
PublicAML · Ончейн-расследование · 10 октября 2026
В июле злоумышленник вывел около $11,8 млн из казначейства Triple-A, сингапурской платёжной криптокомпании, обманув её инженера. 9 октября 4 970 ETH из украденного ушли в Tornado Cash. Мы прочитали сторону Ethereum от первого сводного адреса до этого депозита. Через три дня после кражи злоумышленник продал все 5 287 ETH за DAI, через две недели выкупил эфир обратно и часть его прогнал через Tornado Cash дважды: 1 414 ETH, выведенные из миксера 10 августа, 9 октября вернулись туда же. На кошельках злоумышленника в Ethereum ничего не осталось.
7 672 ETH
внесено в Tornado Cash в три захода: 6 августа, 11 сентября, 9 октября
1 414 ETH
выведены 10 августа и внесены снова 9 октября — в этой сумме учтены дважды
9,87 млн DAI
столько получили за 5 287 украденных ETH 28 июля
0 ETH
осталось на 16 кошельках злоумышленника, которые мы прошли, 10 октября
Что известно
Triple-A в конце июля сообщила, что горячие кошельки её казначейства опустошили 24–25 июля: инженера атаковали выдачей себя за другого, сообщениями в нескольких каналах и живым звонком, после чего злоумышленник с помощью вредоносной программы и API-ключей провёл выводы. Потери — около $11,8 млн в Tron, Ethereum, Polygon, Arbitrum, Solana и TON. Деньги клиентов не пострадали. PeckShield нашла сводный адрес в Ethereum, 0x01F83B5d4fb30E8AA3daC1681B4048D9135253b1, с примерно 5 287 ETH.
9 октября Salus сообщила, что 4 970 ETH из украденного ушли в Tornado Cash 56 депозитами. Ниже — путь между этими двумя точками, прочитанный нами 10 октября 2026 года. Мы шли только по Ethereum.
Из эфира в DAI
28 июля сводный адрес отправил свои 5 287 ETH на второй кошелёк, 0x9d358e54f405e120807D7a07B2895cE77Fe7d53D, который за час продал всё через Uniswap и агрегатор обменов в 27 сделках и вернул 9,87 млн DAI. В то же утро второй поток сделал то же самое: 1 003 ETH, собранные на отдельном кошельке, 0x20f774Ae0C053CBc4fB12da30B0e15fcf02de245, были проданы примерно за 1,87 млн DAI.
Держать DAI вместо эфира значило уйти от единственного актива, который Tornado Cash принимает крупными пулами, но и держать деньги в токене, эмитент которого может замораживать кошельки. Их не заморозили.
Обратно в эфир и в Tornado Cash
6 августа 5,0 млн DAI ушли на свежий кошелёк 0x33DfbC8B52596EcC7D2057F6b1DaD88AF8CbDe82, который купил эфир и внёс 2 620 ETH в Tornado Cash 28 депозитами с 03:20 до 07:37 UTC.
11 августа остаток DAI выкупили обратно в эфир через три свежих кошелька: 2 589 ETH вернулись на сводный адрес, 995 ETH — на кошелёк второго потока.
11 сентября ещё 82 ETH ушли в Tornado Cash с побочного кошелька десятью депозитами.
Круг через миксер
10 августа с 15:32 до 16:07 UTC свежий кошелёк 0xd432925EC435823eF16c3BA5bB9D3e33D6E1a176 вывел из Tornado Cash 1 414 ETH — четырнадцать нот по 100 ETH и две по 10 ETH. Через несколько минут он передал всё на другой свежий кошелёк, а на следующее утро тот перевёл деньги на 0x20f774Ae0C053CBc4fB12da30B0e15fcf02de245 — кошелёк второго потока, принадлежащий злоумышленнику с 26 июля.
То есть миксер связь не разорвал: деньги, вышедшие из Tornado Cash, пришли на кошелёк, уже связанный с кражей. 6 сентября оба кошелька перевели эфир на два новых кошелька хранения (2 642,9 ETH и 2 409,4 ETH). 9 октября оба опустели на ещё один свежий кошелёк, 0x4610Fc066be8AA647e134283aFeDeDc051bD66f0, который и сделал 56 депозитов, о которых сообщила Salus, — 4 970 ETH с 08:35 до 16:49 UTC, включая 1 414 ETH, уже однажды прошедшие через миксер.
| Когда (UTC) | Откуда | Куда | Сумма | Tx |
|---|---|---|---|---|
| 28 Jul | 0x01F83B…5253b1 | 0x9d358e…e7d53D | 5,287 ETH весь украденный ETH отправлен на продажу за DAI | — |
| 6 Aug | 0x33DfbC…CbDe82 | 0xd90e2f…24F31b | 2,620 ETH первый заход в Tornado, 28 депозитов | — |
| 10 Aug | 0xd43292…E1a176 | 0xab9D61…E2C407 | 1,413.8 ETH выведено из Tornado Cash | — |
| 11 Aug | 0xab9D61…E2C407 | 0x20f774…2de245 | 1,413.9 ETH приходит на кошелёк, уже связанный с кражей | — |
| 6 Sep | 0x01F83B…5253b1 | 0xcFa210…F7165e | 2,642.9 ETH первый поток на хранении | — |
| 6 Sep | 0x20f774…2de245 | 0xc6Bbd4…64901B | 2,409.4 ETH второй поток на хранении, вместе с деньгами из миксера | — |
| 9 Oct | 0x4610Fc…bD66f0 | 0xd90e2f…24F31b | 4,970 ETH второй заход в Tornado, 56 депозитов | — |
Что сделали мы
Мы пометили в нашей базе 16 адресов в Ethereum, связанных с этой кражей: сводный адрес, кошельки обменов, два кошелька хранения, вносившие в Tornado кошельки и кошелёк вывода. Ни один не был помечен раньше; сводный адрес оценивался как обычный кошелёк-сборщик. Uniswap, агрегатор обменов, мосты и Tornado Cash мы не помечали.
Все 16 пусты. Остальные пять сетей мы не прослеживали. Проверить адрес можно на странице проверки адреса.
Чего эта страница не утверждает
Она не говорит, кто злоумышленник. Она не говорит, что Triple-A, Uniswap, агрегатор обменов или какой-либо мост нарушили закон. Размер кражи и способ атаки — данные Triple-A и PeckShield; о депозите 9 октября первой сообщила Salus. Путь, обход через DAI и круг через миксер — наши, прочитаны 10 октября 2026 года.
Проверьте адрес сами
Бесплатно, без регистрации. Вставьте любой адрес и посмотрите, связан ли он с этим или другим инцидентом:
Источники: заявление Triple-A, июль 2026 года; PeckShield о сводном адресе; Salus о депозите 9 октября; данные Ethereum через Blockscout, прочитаны PublicAML 10 октября 2026 года. Это информационный ресурс о транзакциях между адресами, а не финансовая или юридическая консультация; он никого не называет ответственным за что-либо.