Coinbase Commerceハッカーが復活し、540万ドルをTornado Cashに流し込む

Coinbase Commerceハック（2024年）に関連するウォレットが、ほぼ2年間の活動停止後に復活しました。オンチェーンデータによると、攻撃者は2026年1月に資金の移動を開始しました。最新の動きでは、これまでに540万ドル相当のイーサリアムをTornado Cashに預け入れています。

預け入れに先立ち、盗難に関連するアドレスは、約580万ドルのDAIを新しいウォレットに移動しました。そのDAIはイーサにスワップされました。その後、ETHは複数の預け入れに分割され、Tornado Cashの活動は明確なバッチパターンに従いました。攻撃者は100 ETHの20回の預け入れを送信し、その後、10 ETH、1 ETH、および断片的な転送などの小額が続きました。ただし、攻撃者にリンクされた別のウォレットは、現在約460万ドルのDAIを保有しています。

これは、グローバルな暗号通貨市場が強い売り圧力に対処している時に発生します。イーサリアムは過去7日間でほぼ10%下落しました。2024年4月、攻撃が発生した際、ETHは3,100〜3,700ドルの範囲で取引されていました。現在、Etherは平均価格2,890ドルで取引されています。

Coinbase Commerceの脆弱性

この事案は、2024年4月にフラグが立てられた日に遡ります。オンチェーン調査者のZachXBTは、当時Coinbase Commerce契約からの不審な流出を報告しました。2024年4月21日、契約はPolygon上で16時間の窓内で1,700件以上のUSDC流出を記録しました。総額は1,597万ドルに達しました。

このパターンは、Coinbase Commerceを使用する商人が攻撃されたことを示唆しています。資金は繰り返しの転送で流出しました。盗まれたUSDCは、 Polygon イーサリアムにブリッジされました。それはイーサにスワップされ、3つのウォレットに分割されました。

攻撃者はほぼ2年間の休眠状態の後に活動を再開し、現在、盗まれた資金をTornado Cashに預け入れています。

これまでに合計 $5.4M が預け入れられました。

これに先立ち、盗難アドレスは580万ドルのDAIを新しいウォレットに転送し、その後… https://t.co/6hZWByeuRQ pic.twitter.com/67vx2CLk6U にスワップされました。

— Specter (@SpecterAnalyst) 1月 26日、 2026

盗難の直後、「Excite」というエイリアスを使用した脅威アクターが、プライベートチャットで資金について議論し始めました。ZachXBTは、これらの主張を流出に関連するアドレスに結びつけました。彼は、2024年5月、「tezedasads12」というハンドルを持つTelegramユーザーが1 DAIのトランザクションを送信したことに言及しました。この転送は、盗難から約600万ドルを保有するウォレットの制御権を証明するために使用されました。

同じアクターは、Instagramのユーザー名「Excite」の所有権を主張しました。また、一致するTelegramユーザー名の購入を試みましたが失敗しました。Instagramアカウントは当初非公開でしたが、その後公開されました。アカウントには高級時計やその他の高価値アイテムが表示されていました。

ZachXBT 述べた オープンソースインテリジェンスによると、その個人はデンマークに拠点を置いている可能性があります。この詳細は独立して確認されていません。最初の洗浄フェーズの後、資金のほとんどが移動を停止しました。攻撃に関連するウォレットは休眠状態になりました。その間、資金のより小さな部分は後で分散型取引所やステーキングプラットフォームを通じてルーティングされました。これらのトランザクションは、資産を新しいウォレットに移動するために使用されました。

ある預け入れアドレスは、既知のdrainerインフラストラクチャに対して高い露出を示しました。調査員はこれをリスクシグナルとしてフラグを立てました。2026年1月の Tornado Cash 預け入れは、ほぼ2年間で攻撃に関連する最初の主要な活動を示しています。 

Coinbaseハック 2025

この事例は、Coinbaseに関連する一連のセキュリティインシデントに追加されます。2025年5月、Coinbaseは別のサイバー攻撃を開示しました。同社は、このインシデントが最大4億ドルのコストがかかる可能性があると言いました。その場合、攻撃者は契約社員や従業員に支払いを行うことで限られた顧客データを取得しました。データはCoinbaseになりすまし、ユーザーを騙すために使用されました。

Coinbaseによると、影響を受けた顧客は1%未満でした。攻撃者は2,000万ドルを要求しましたが、Coinbaseは支払いを拒否しました。秘密鍵は侵害されていませんでした。ただし、同社は影響を受けたユーザーを補償すると述べました。