Ончейн-данные указывают, что за взломом децентрализованной биржи (DEX) и автоматического маркетмейкера (AMM) Balancer на $116 млн стоит профессиональный хакер, который готовил операцию несколько месяцев. Он не оставил ни одной улики.
К такому выводу пришли аналитики, изучившие его транзакции .
По данным аналитиков, злоумышленник аккуратно пополнял свой кошелек небольшими переводами по 0,1 ETH через криптомиксер Tornado Cash, чтобы не попасть под радары аналитических систем.
Директор Coinbase Конор Гроган рассказал, что у хакера было не менее 100 ETH, заблокированных в смарт-контрактах Tornado Cash, что может указывать на его связь с другими атаками.
«Похоже, это опытный хакер. Он пополнил счет через депозиты в 100 ETH и 0,1 ETH из Tornado Cash; утечек, связанных с безопасностью, нет. Так как недавних депозитов на 100 ETH в Tornado не было, вероятно, злоумышленник хранил средства там еще с прошлых взломов», — написал Гроган.
Он добавил, что пользователи редко хранят такие суммы в приватных миксерах, что подчеркивает уровень подготовки злоумышленника.
Balancer предложил хакеру вернуть украденные средства в полном объеме за вычетом вознаграждения, пообещав выплатить 20% в качестве «white hat»-бонуса, если он вернет средства до 5 ноября.
По теме: вооруженные ИИ хакеры из КНДР выходят на новый уровень — Mysten Labs
«Мы работаем с ведущими исследователями по кибербезопасности, чтобы понять причину инцидента, и опубликуем подробный отчет, как только он будет готов», — заявили представители Balancer.
Самая сложная атака года
Сооснователь и генеральный директор компании Cyvers Дедди Левид назвал инцидент с Balancer одной из самых «технически сложных атак 2025 года».
«Злоумышленники обошли уровни контроля доступа и напрямую изменили балансы активов. Это критический сбой в операционном управлении, а не в коде протокола», — отметил Левид.
По его словам, этот случай показывает, что стандартные аудиты смарт-контрактов уже не дают должного уровня защиты. Он также призвал перейти к постоянному, реальному мониторингу транзакций, чтобы выявлять подозрительную активность до вывода средств.
По теме: смарт-контракты Ethereum стали хранилищем вредоносных ссылок
Группа Лазарь снова в поле зрения
Аналитики также провели параллели с действиями северокорейской группы Лазарь, известной масштабными кибератаками.
В Chainalysis отметили, что активность, связанная с хакерами из Северной Кореи, резко упала после 1 июля 2024 года, хотя до этого наблюдался всплеск атак.
Руководитель отдела исследований киберпреступлений платформы Эрик Джардин объяснил, что пауза могла быть связана с перегруппировкой и выбором новых целей.
По данным Chainalysis, группе Лазарь потребовалось всего 10 дней, чтобы отмыть все похищенные средства с Bybit через децентрализованный кроссчейн-протокол THORChain.
По теме: CZ предупредил о 60 подставных разработчиках из КНДР, выявленных SEAL