Хакери твърдят за пробив в крипто платформата Wagyu, докато изследователи откриват хиляди записи на трансакции с Monero

Хакери обявиха, че са извършили пробив в платформата за обмен на криптовалути Wagyu.xyz, докато изследователи, преглеждащи предполагаемото изтичане на данни, откриха хиляди записи, свързващи трансакции с Monero с публични блокчейн плащания и IP адреси.

Наборът от данни съдържа 38 628 записа на поръчки и 10 139 отделни IP адреса, обхващащи активност между 18 юли и 26 октомври 2026 г. Произходът и автентичността му остават независимо непотвърдени.

Констатациите подчертават риск за поверителността, надхвърлящ самия криптографски код на криптовалутите: информацията, съхранявана от услуги, които прехвърлят средства между различни блокчейни. За разлика от компрометирането на портфейл, изтичането на база данни с трансакции може да разкрие финансови взаимовръзки, без да разкрива частни ключове.

По-ранният пробив в клиентските данни на Coinbase по подобен начин показа как разкритата информация за акаунти може да създаде рискове от социално инженерство, без директно да компрометира средствата на клиентите.

Изследователи от Infostealers, изданието за анализ на заплахи на Hudson Rock, съобщиха за своите открития на 28 октомври. Те отбелязаха, че зловредният софтуер за кражба на данни (infostealer) може да изложи на риск идентификационни данни, активност в браузъра и информация за криптовалути, но не откриха доказателства, че подобен зловреден софтуер е причинил този предполагаем инцидент или е инфектирал идентифицирани клиенти на Wagyu.

Хакери твърдят за пробив в крипто платформата Wagyu

Услуги за проследяване на рансъмуер индексираха обяви, свързани с WhiteArmor, посочващи Wagyu на 27–28 октомври, включително запис със заглавие „wagyu.xyz unfairness“.

Придружаващите твърдения се фокусираха върху предполагаемо скрити такси за обмен и несправедливи коефициенти при залози тип хвърляне на монета. Публикация от злонамерен субект обаче не доказва, че е бил внедрен рансъмуер, че са откраднати данни или че са извършени финансови злоупотреби.

Hudson Rock анализира извлечение от поръчки и отделен обобщен отчет за активността на ниво IP адреси. Изследователите идентифицираха 8 137 поръчки, посочващи базови адреси за получаване на Monero, включително 6 692, отбелязани като завършени.

В рамките на завършената подгрупа за междублокови трансакции 4 580 записа обединяват входящ хеш на трансакция, XMR дестинация и клиентски IP адрес. Тази група включва 1 011 поръчки за обмен от Bitcoin към Monero.

Това е от съществено значение, тъй като доставчикът на суап услуги трябва да знае къде да достави закупените монети. Следователно неговата база данни може да свърже видим депозит в Bitcoin с адрес за получаване на Monero, времево клеймо, информация за браузъра и идентификатор на сесията.

Тези записи от страна на услугата разкриват връзки, които не са достъпни чрез обикновена проверка на блокчейна на Monero. По-широкият риск е свързан с комбинирането на отделни източници на метаданни.

Както се обяснява в доклади за откраднати идентификационни данни, подхранващи пробиви, логовете от софтуер за кражба на информация могат да съдържат сесии на браузъра и данни за портфейли. Такъв материал би могъл да предостави допълнителен контекст за разследване, въпреки че Hudson Rock не съобщава за съпоставяне на записите на Wagyu със заразени потребители или откраднати данни за достъп.

Записите показват и обратната посока. Изследователите откриха 11 317 поръчки за обмен с входящи трансакции в базов XMR, съдържащи служебни адреси за депозит и дестинации за други активи.

Сред тях 9 187 завършени записа са запазили изходящите хешове на трансакциите. Тези връзки могат да разкрият публичните плащания на услугата по веригата, но не и кой частен Monero портфейл първоначално е осигурил депозитите.

Някои групи трансакции са носели етикети, включително „Poloniex Hacker“, „Theft“ и „Tornado.Cash: 100 ETH“. Шест завършени тегления с етикет „Poloniex Hacker“ възлизат на обща записана стойност от 1 025 047 долара.

Това са непотвърдени етикети в базата данни, а не потвърдени криминални авторства. Записаните суми също така не доказват откраднати средства, а припокриващите се групи не могат да бъдат събрани в надеждна обща сума от пране на пари.

Рискове за поверителността, запазване на данни и защита на потребителите

Изследването не демонстрира слабост в криптографията на Monero. Вместо това то показва как информацията, съхранявана извън блокчейна, може да свърже заявки за трансакции с мрежова активност.

Даден IP адрес не представлява потвърдена самоличност: VPN мрежи, Tor, споделени мрежи и автоматизирани услуги могат да представляват няколко потребители, докато едно лице може да използва множество адреси.

Друго притеснение е свързано с 4 002 завършени поръчки, съдържащи попълнено поле userDeletedAt. Всички те са запазили IP адрес и дестинация, докато 3 180 са запазили и хешовете на трансакциите за депозит.

Самото поле не може да установи какво точно са изтрили потребителите, дали са замесени резервни копия или дали Wagyu е нарушила обещание за задържане на данни или законово задължение.

Ако са автентични, записите биха могли да послужат за убедителни измами с възстановяване на средства, фалшиви съобщения за поддръжка или опити за изнудване, позоваващи се на реални сделки.

Отделни кампании, използващи фалшиви екрани на крипто портфейли, демонстрират защо потребителите никога не трябва да въвеждат фрази за възстановяване (seed phrases) в неочаквани подкани. Hudson Rock не е установил някой да е експлоатирал предполагаемото изтичане на Wagyu по този начин.

Потребителите трябва да проверяват известията през доверени канали и да отхвърлят искания за частни ключове. Платформите следва да ограничават съхранението на данни, да ограничават достъпа до бази данни и да обясняват как изтриването засяга лог файловете и резервните копия.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (defanged, напр. [.]), за да се предотврати случайно разрешаване на адреси или хипервръзки. Активирайте ги отново само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.