500+ кошельков Ethereum были опустошены в скоординированной атаке, средства отмывались через ThorChain

Более 500 кошельков Ethereum, многие из которых неактивны годами, были опустошены в ходе скоординированной атаки, в результате которой, по данным ончейн-исследователей, было похищено около 800 000 долларов. Затем украденные средства были отмыты через кроссчейн-протокол ThorChain. Инцидент выделяется из‑за возраста затронутых кошельков: некоторые оставались неактивными до семи лет. Аналитики отметили, что злоумышленник нацеливался на кошельки без недавней активности, что вызывает опасения по поводу скрытых уязвимостей, связанных со старыми практиками управления ключами или ранее скомпрометированными учетными данными.

Цели атаки: бездействующие кошельки в масштабе

Ончейн-данные указывают, что скоординированный набор адресов систематически выводил средства со счетов сотен кошельков в течение короткого периода. Затронутые кошельки содержали эфир и другие токены, хотя индивидуальные балансы в целом были скромными.

Исследователи заметили, что многие из скомпрометированных кошельков были созданы 4–8 лет назад, что позволяет предположить роль более старых способов хранения или утечку приватных ключей. В некоторых случаях пользователи сообщали, что в последнее время не взаимодействовали с dApp или подозрительными контрактами, что добавляет неопределенности относительно того, как был получен доступ.

Злоумышленник не полностью опустошил каждый кошелек, поэтому аналитики рассматривают версию о том, что операция включала выборочное нацеливание в зависимости от порогов баланса или стратегий извлечения, рассчитанных на снижение риска обнаружения.

Неясный вектор атаки

Одним из самых значимых аспектов инцидента является отсутствие подтвержденной точки входа. В отличие от распространенных сливов средств с кошельков, связанных с фишинговыми ссылками или вредоносными разрешениями, эта атака пока не привязана к конкретному механизму эксплуатации.

Исследователи по безопасности предположили несколько возможных объяснений, включая компрометацию приватных ключей, уязвимости в устаревшем ПО кошелька или учетные данные, раскрытые в утечках данных в прошлом, которые были использованы лишь недавно.

Нацеливание на спящие кошельки усилило обеспокоенность, потому что такие адреса часто считаются более безопасными из‑за отсутствия взаимодействия с новыми протоколами. Событие ставит под сомнение это допущение и подчеркивает риски, связанные с долгосрочным хранением без периодической ротации ключей.

Средства направлены через ThorChain, чтобы скрыть след

После кражи злоумышленник провел средства через ThorChain — децентрализованный кроссчейн-протокол ликвидности, который позволяет выполнять свопы активов между несколькими блокчейнами без централизованных посредников. Следователи сообщили, что часть похищенного эфира была конвертирована в другие активы, чтобы усложнить отслеживание. Использование кроссчейн-инфраструктуры и свопов активов — распространенная тактика в криптоэксплойтах: она фрагментирует цепочки транзакций и снижает прослеживаемость.

Последствия для безопасности и рекомендации

Инцидент подчеркивает сохраняющиеся уязвимости в системах self-custody, особенно для кошельков, созданных на ранних этапах развития криптоэкосистемы. По мере того как индустрия развивается, старые кошельки могут опираться на устаревшие предположения по безопасности или инструменты, которые больше не считаются передовой практикой.

Специалисты по безопасности предупреждали, что бездействующие кошельки могут стать целями, если приватные ключи были раскрыты из‑за слабой энтропии, скомпрометированных устройств или исторических утечек. Последнее событие акцентирует важность проактивных мер защиты, включая перенос средств на вновь сгенерированные кошельки и обновление практик хранения.

Хотя финансовый ущерб относительно ограничен по сравнению с более крупными эксплойтами в DeFi, характер атаки привлек значительное внимание из‑за необычной стратегии нацеливания и неясной технической причины. Для участников рынка инцидент подтверждает важность гигиены кошельков и управления ключами, поскольку злоумышленники продолжают развивать свои методы.

Следователи продолжают анализировать паттерны транзакций, чтобы определить первопричину. Более ясное понимание эксплуатации может повлиять на будущие рекомендации по безопасности и помочь предотвратить подобные инциденты. Атака служит напоминанием: одной лишь неактивности недостаточно для гарантии безопасности в крипто, и даже активы, долгое время без движения, могут стать целями в среде угроз, которая становится всё более сложной.