Лонг на $45 млн на Hyperliquid, «связанный с UXLINK»: деньги старше взлома, а владелец хакеру не чужой

UXLINK, социальная Web3-платформа, 22 сентября 2025 года потеряла контроль над своим мультисиг-кошельком; атакующий вывел казну в Ethereum и BSC и напечатал токены UXLINK. 9 ноября 2026 года PeckShield сообщил, что аккаунт на Hyperliquid 0xDE8d9…d9524 держит лонг на 21 550 ETH с плечом 15x и был пополнен на 11 млн USDC с адреса 0x35Eb7…5D43, который 28 августа «взаимодействовал с эксплойтером UXLink». Сам PeckShield отметил, что такая косвенная связь не доказывает, что трейдер контролирует кошелёк атакующего. Embers в тот же день сообщил, что связанные аккаунты закрывают лонги по ETH, SOL и XRP примерно на $148 млн.

Трейдер — 0xde8d9e530b0528ffa7b1190f862536c055dd9524. На Hyperliquid он получил ровно два перевода, оба 7 августа 2026 года с 0x7fba7e745bd97f828c824589680749b55a8c04ab: 10 USDC для проверки и через шесть минут 11 545 560 USDC. В тот же день этот кошелёк заплатил ему 0,61 ETH на газ в Arbitrum. В 12:06 UTC 9 ноября на аккаунте был лонг на 17 987 ETH по средней цене $2 134,45, около $3,8 млн маржи, ликвидация около $1 545.

0x7fba7e745bd97f828c824589680749b55a8c04ab — личный кошелёк, за всю жизнь у него двенадцать транзакций (в нашей базе он значился кошельком моста Across; эта метка была ошибочной и исправлена). Его пополнили 26–30 июня 2026 года из четырёх источников: 45,56 WBTC и 59 895 USDT с 0x679279a70597a422a540ad0541872eda0a840ca2, который в то же утро получил WBTC от 0x170880fe741ab5411fb6fe5828a4c82d1493ae92; 1 110 995,98 USDC с 0x35eb7bfe079e6c31c78f936057cc418e467d5d43 — того адреса, который назвал PeckShield; выводы с двух оживлённых кошельков бирж; и около 29,6 BTC, заведённых в Hyperliquid через Hyperunit. WBTC и USDT были обменяны на USDC через CoW Swap и отправлены в Hyperliquid через CCTP от Circle.

0x35eb7bfe079e6c31c78f936057cc418e467d5d43 получил 10 января 2025 года около 596 ETH с девяти кошельков, обменял их на DAI и держал в sUSDe от Ethena и принципальных токенах Pendle; 21 ноября 2025 года вышел из них с 1,11 млн DAI, которые и стали USDC, отправленными в июне 2026-го. 0x170880fe741ab5411fb6fe5828a4c82d1493ae92 получил 3,5 млн sUSDe в мае 2025 года, держал токены Pendle, вышел 21 ноября 2025 года с 4,21 млн DAI и 2 декабря 2025 года обменял их на 46,56 WBTC. Оба баланса существовали до 22 сентября 2025 года. По блокчейну деньги, на которые открыт лонг на Hyperliquid, — не краденые деньги UXLINK.

Два кошелька-источника действуют вместе. 23 июля 2025 года 0x170880fe741ab5411fb6fe5828a4c82d1493ae92 переложил позицию в Pendle в 01:21 UTC, а 0x35eb7bfe079e6c31c78f936057cc418e467d5d43 — в 01:26. 21 ноября 2025 года они вышли в 08:54 и 08:50. 2 декабря 2025 года 0x170880fe741ab5411fb6fe5828a4c82d1493ae92 обменял свои DAI на WBTC в 15:31 UTC; в тот же день с 14:00 до 14:25 эксплойтер UXLINK обменял все 5,38 млн украденных DAI на 702,5 ETH и 38,2 WBTC и отправил 700 ETH в Tornado Cash.

Эксплойтер — 0x5210bfdf0cfe6471322d597d16cf440f5ac59309. 22 сентября 2025 года сборщик 0xb819e6ae5a6668bb0ce02d64d130deca9ff83691 за восемь минут получил с опустошённых кошельков около 4,0 млн USDC, 1,38 млн USDT и 4,73 WBTC, обменял стейблкоины на DAI через CoW Swap и через два часа передал эксплойтеру 5 382 418 DAI и WBTC. Эксплойтер менял DAI на ETH в декабре 2025-го и июле 2026-го и отправил в Tornado Cash около 2 685 ETH депозитами по 100, 10 и 1 ETH; сейчас на нём 0 ETH.

«Взаимодействие», о котором писал PeckShield, выглядит так. 28 августа 2026 года в 02:45 UTC эксплойтер отправил 0,6494 ETH на новый кошелёк 0xe45642c1ae5d18eff149dc5118e4dc669e15bc26, который через пятнадцать минут обменял их через Mayan. В 05:53 тот же кошелёк получил 0,414 ETH от 0x35eb7bfe079e6c31c78f936057cc418e467d5d43 и в 06:15 переслал их дальше. Кошелёк прожил три с половиной часа, и платили ему ровно двое: эксплойтер UXLINK и владелец кошельков, профинансировавших трейдера на Hyperliquid.

Под блокчейн подходят два прочтения. Либо владелец трейдера и эксплойтер UXLINK — один человек, у которого ещё до взлома были в DeFi несколько миллионов долларов, либо они настолько близки, что пользуются одним одноразовым кошельком. Посторонний, однажды получивший платёж от хакера, не перекладывает позиции в Pendle в те же пять минут, что и другой кошелёк, пополняющий тот же аккаунт, и не платит тому же трёхчасовому кошельку, что и хакер. В любом случае у дела UXLINK теперь есть живой, отслеживаемый контрагент: аккаунт на Hyperliquid с маржой около $3,8 млн и крупной позицией в ETH, пополненный через CCTP от Circle и через Hyperunit — оба ведут учёт.

Она не называет владельцев этих кошельков, не утверждает, что деньги трейдера краденые, и не утверждает, что Hyperliquid, Circle, CoW Swap, Pendle, Ethena, Mayan или Hyperunit в чём-то виноваты. Сам взлом описан UXLINK, Cyvers, Rekt и The Block; позиция трейдера — из сообщений PeckShield и Embers, перепроверена через публичный API Hyperliquid. Путь пополнения, даты появления денег, синхронные действия, однодневный кошелёк и депозиты эксплойтера в Tornado — собственное прочтение Ethereum, Arbitrum и Hyperliquid сотрудниками PublicAML 9 ноября 2026 года. Эксплойтера, его сборщика и однодневный кошелёк мы внесли в базу; кошельки владельца и трейдер отмечены как связанные, а не как атакующие.