Хакер Coinbase Commerce просыпается, перенаправляя $5,4 млн в Tornado Cash

Кошелек, связанный с взломом Coinbase Commerce (2024), вернулся к жизни после почти двух лет неактивности. Данные блокчейна показывают, что злоумышленник начал перемещать средства в январе 2026 года. В новых движениях он уже внес эфир на сумму $5,4 млн в Tornado Cash.

До депозитов адрес, связанный с кражей, перевел примерно $5,8 млн в DAI на новый кошелек. Этот DAI был обменен на Ether. Затем ETH был разбит на несколько депозитов, и активность в Tornado Cash следовала четкой схеме группировки. Злоумышленник отправил двадцать депозитов по 100 ETH, а затем последовали меньшие суммы. В их числе были 10 ETH, 1 ETH и дробные переводы. Однако отдельный кошелек, связанный с злоумышленником, все еще удерживает около $4,6 млн в DAI.

Это происходит, когда мировой рынок криптовалют сталкивается с сильным давлением продаж. Эфириум упал почти на 10% за последние 7 дней. ETH торговался в диапазоне $3 100–$3 700 в апреле 2024 года, когда произошел взлом. На данный момент Ether торгуется по средней цене $2 890.

Уязвимость Coinbase Commerce

Инцидент восходит к дате, отмеченной в апреле 2024 года. Исследователь блокчейна ZachXBT сообщил о подозрительных оттоках из контракта Coinbase Commerce в то время. 21 апреля 2024 года контракт зафиксировал более 1 700 оттоков USDC за 16-часовое окно в сети Polygon. Общая стоимость достигла $15,97 млн.

Паттерн предполагал, что торговец, использующий Coinbase Commerce, был взломан. Средства были выведены в повторяющихся переводах. Украденный USDC позже был переведен из Polygon в Ethereum. Он был обменен на Ether и разделен между тремя кошельками.

Злоумышленник возобновил активность после почти двух лет бездействия и теперь вносит украденные средства в Tornado Cash.

Всего на данный момент внесено $5.4M.

До этого адрес кражи перевел $5,8 млн DAI на новый кошелек, который впоследствии был обменен на… https://t.co/6hZWByeuRQ pic.twitter.com/67vx2CLk6U

— Specter (@SpecterAnalyst) января 26, 2026

Вскоре после кражи злоумышленник, использующий псевдоним «Excite», начал обсуждать средства в частных чатах. ZachXBT связал эти утверждения с адресами, связанными с оттоками. Он упомянул, что еще в мае 2024 года пользователь Telegram с ником «tezedasads12» отправил транзакцию на 1 DAI. Этот перевод использовался для подтверждения контроля над кошельком, содержащим около $6 млн из кражи.

Тот же актер заявил о владении именем пользователя Instagram «Excite». Он также попытался купить соответствующее имя пользователя Telegram, но не смог. Аккаунт Instagram изначально был закрытым, но позже стал публичным. На аккаунте были показаны роскошные часы и другие предметы высокой стоимости.

ZachXBT заявила что открытый разведывательный анализ предполагает, что этот человек может находиться в Дании. Эта деталь не была независимо подтверждена. После начальной фазы отмывания большинство средств перестали двигаться. Кошельки, связанные со взломом, перешли в спящий режим. Тем временем меньшая часть средств позже была направлена через децентрализованные биржи и платформы стейкинга. Эти транзакции использовались для перемещения активов в новые кошельки.

Один адрес депозита показал высокую подверженность известной инфраструктуре для вывода средств. Расследователи отметили это как сигнал риска. Январь 2026 года Tornado Cash депозиты отмечают первую крупную активность, связанную со взломом, почти за два года. 

Взлом Coinbase 2025

Этот случай добавляется к серии инцидентов безопасности, связанных с Coinbase. В мае 2025 года Coinbase раскрыл информацию о отдельной кибератаке. Компания заявила, что инцидент может обойтись до $400 млн. В том случае злоумышленники получили ограниченные данные клиентов, заплатив подрядчикам и сотрудникам. Данные использовались для имитации Coinbase и обмана пользователей.

Coinbase заявил, что менее 1 процента клиентов были затронуты. Злоумышленники потребовали $20 млн, и Coinbase отказался платить. Приватные ключи не были скомпрометированы. Однако компания заявила, что возместит ущерб пострадавшим пользователям.