Криптобиржа из Кыргызстана приостановила торговлю после кибератаки на 15 млн USDT и взлома кошельков

Криптобиржа из Кыргызстана Grinex приостановила всю торговую деятельность после того, как хакеры украли более 15 миллионов долларов США в USDT с ее кошельков. Биржа выпустила публичное заявление, подтверждающее атаку, в то время как британская компания по блокчейн-аналитике Elliptic отследила украденные средства и обнаружила, что злоумышленники перевели их, чтобы избежать обнаружения.

Инцидент происходит на фоне более широкой волны атак на криптобиржи по всему миру в 2025 и 2026 годах, когда уязвимости хот-кошельков и компрометация процессов подписания оставались наиболее эксплуатируемыми точками входа.

Хакеры украли деньги и остановили торговлю на Grinex

Хакеры вызвали опасения по поводу безопасности средств пользователей на криптобиржах после взлома системы кошельков Grinex и кражи более 1 миллиарда рублей (около 13–15 миллионов долларов США в USDT). Средства были быстро переведены на несколько адресов в блокчейне.

В то время как расследование взлома кыргызстанской биржи все еще продолжается, инцидент добавляет обеспокоенности по поводу уровня безопасности небольших и средних криптобирж, работающих в юрисдикциях с ограниченным регулированием.

Чтобы предотвратить дальнейший ущерб, биржа заморозила всю активность платформы, включая вывод средств, оставив многих пользователей без доступа к своим средствам. Grinex описала атаку как высоко скоординированную и заявила, что хакеры были квалифицированными лицами, использующими передовые инструменты и ресурсы для взлома системы. Компания даже предположила, что могут быть замешаны иностранные разведывательные службы, а целью было нанесение ущерба финансовой системе России и ее независимости.

Однако источник атак остается неизвестным, так как нет четких доказательств, подтверждающих утверждения о вмешательстве из-за рубежа. 

В то же время Grinex заявила, что ранее сталкивалась с подобными проблемами, включая давление санкций, ограничения на транзакции и повторяющиеся мелкие атаки, что вынуждало ее реагировать жестко.

Биржа предприняла юридические шаги для подачи уголовного заявления и даже предоставила всю доступную информацию правоохранительным органам для облегчения отслеживания данных.

Инцидент показал, насколько сильно биржи, связанные с санкционными системами, часто сталкиваются с более высокими рисками, включая кибератаки, большее регулирование и усиленное давление со стороны внешних акторов.

Аналогичным образом, событие выявляет слабости централизованных бирж, которые хранят большие объемы средств пользователей в одном месте, подчеркивая необходимость усиления безопасности по мере того, как атакующие становятся все более изощренными с каждым днем.

Атакующие перемещают украденные средства, чтобы скрыть их

Хакеры Grinex немедленно перевели украденные USDT, используя инструменты блокчейна, чтобы замедлить отслеживание правоохранительными органами.

Согласно отчетам Elliptic, злоумышленники быстро отправили украденные USDT через множество кошельков и сетей, включая Tron и Ethereum, что сделало отслеживание еще более сложным. Затем они конвертировали украденные USDT в другие активы, такие как TRX и ETH, поскольку Tether контролирует USDT и может легко заморозить средства, связанные с преступлением.

Наконец, хакеры достигли этапа консолидации, во время которого они перевели средства в один главный кошелёк, содержащий 45,9 млн TRX (около 15 млн долларов), чтобы решить, удерживать ли их, переместить снова или вывести в фиат.

Весь инцидент демонстрирует типичное поведение киберпреступников, которое опирается на децентрализованные инструменты из-за отсутствия центрального органа власти, что позволяет преступникам перемещать средства без препятствий. 

Эксперты уже сообщали о подобных паттернах в рисках стейблкоинов, включая цепные перемещения (перевод средств между различными блокчейнами для избежания обнаружения) и слоистость (использование множества кошельков для распределения средств по разным адресам).

Grinex широко рассматривается как преемник Garantex, крупной криптовалютной биржи, которая прекратила работу после санкций со стороны Соединённых Штатов, Европейского Союза и Соединённого Королевства по обвинениям в отмывании денег.

Однако даже после закрытия Garantex в 2025 году его пользователи и ликвидность переместились на другие платформы, и одной из главных целей стал Grinex. Эта миграция сделала Grinex важным торговым хабом для пользователей, работающих с рублями и криптовалютами.

Он также стал центром активности со стейблкоинами, такими как рублёвый стейблкоин A7A5, но это усложнило ситуацию, поскольку токен также обеспечен депозитами, хранящимися в учреждениях, подвергшихся санкциям. 

A7A5 также работает в таких блокчейнах, как Ethereum и Tron, что позволяет ему легко пересекать границы и поддерживать очень крупные транзакции. 

Интересно, что лишь небольшое количество кошельков контролирует большую долю этих транзакций, сохраняя активность сосредоточенной среди нескольких ключевых игроков и повышая риск обхода санкций.

Согласно данным Elliptic, эти лица, подвергшиеся санкциям, используют стейблкоины для обхода финансовых ограничений, поэтому взлом Grinex связан с тем, как платформы, работающие в определённых регионах, становятся полезными инструментами и крупными целями.

Вся ситуация оказывает дополнительное давление на биржи, заставляя их улучшать меры безопасности и выявлять необычное поведение до того, как оно приведёт к значительным потерям. В то же время злоумышленники продолжают адаптироваться, переключаясь между активами и используя инструменты, которые сложнее контролировать.