Coinsbuy telah menawarkan hadiah $100.000 untuk informasi yang mengidentifikasi pihak di balik penarikan dana tidak sah yang dilaporkan menguras lebih dari $7,9 juta dari dompet Ethereum dan TRON mereka.
Coinsbuy mengumumkan hadiah tersebut setelah mengonfirmasi bahwa penarikan tidak sah memengaruhi beberapa dompet platform pada 9 Agustus. Perusahaan pembayaran kripto yang terdaftar di Panama ini tidak mengonfirmasi atau membantah kerugian $7,9 juta yang diperkirakan oleh penyelidik blockchain.
Hadiah $100.000 akan diberikan kepada siapa pun yang memberikan informasi yang mengarah pada identifikasi pihak yang bertanggung jawab. Coinsbuy juga menjanjikan bonus tambahan, yang tidak ditentukan jumlahnya, untuk bantuan dalam memulihkan aset yang dicuri.
Coinsbuy menyatakan sedang menyelidiki insiden tersebut tetapi akan menahan detail teknis hingga temuannya lengkap dan diverifikasi secara independen. Belum ada tersangka atau metode serangan yang diidentifikasi secara publik.
Penyelidik blockchain SpecterAnalyst awalnya melaporkan bahwa dompet yang terkait dengan Coinsbuy kehilangan lebih dari $7,9 juta di Ethereum dan TRON sekitar pukul 13:00 UTC pada hari Minggu.
PeckShield kemudian melacak sebagian dana melalui ChangeNOW, FixedFloat, dan BingX. ChangeNOW dilaporkan membekukan jumlah enam digit sebelum dapat dipindahkan lebih lanjut.
Coinsbuy untuk sementara menangguhkan deposit dan penarikan setelah mendeteksi aktivitas tersebut. Kedua layanan tersebut kini telah dilanjutkan kembali, dan perusahaan menyatakan platform beroperasi secara normal.
“Semua dana klien yang terdampak telah sepenuhnya ditanggung oleh Coinsbuy dari cadangan kami sendiri, sehingga pengguna kami tidak mengalami kerugian finansial apa pun.”
Perusahaan menambahkan bahwa semua layanan tersedia sepenuhnya. Laporan terpisah mengindikasikan bahwa Coinsbuy mengisi kembali dompet yang terdampak hingga 0,05% dari saldo sebelum insiden dalam waktu 24 jam.
Sekitar 282 ETH, senilai sekitar $542.000 pada saat itu, tetap tidak bergerak di lima alamat dalam tinjauan on-chain terbaru yang dilaporkan. Coinsbuy belum mengungkapkan berapa banyak kripto yang tersisa telah dipulihkan atau dibekukan.
Penyerang dilaporkan mengarahkan sebagian aset melalui bursa untuk dikonversi menjadi Monero (XMR), mata uang kripto yang berfokus pada privasi yang membuat pelacakan dana selanjutnya menjadi lebih sulit.
Hadiah identifikasi tetap dari Coinsbuy berbeda dari hadiah kerentanan berbasis persentase yang terkadang ditawarkan langsung kepada penyerang sebagai imbalan untuk mengembalikan aset yang dicuri.
Pada bulan Juli, seorang penyerang TrustedVolumes mengembalikan sekitar $2 juta dalam Ethereum sambil mempertahankan $2 juta lainnya sebagai hadiah yang diumumkan sendiri. TrustedVolumes sebelumnya telah mengundang penyerang untuk menegosiasikan hadiah kerentanan dan mengembalikan dana.
Tawaran Coinsbuy justru menargetkan informasi yang dapat mengidentifikasi pihak yang bertanggung jawab, sambil memberikan bonus terpisah untuk bantuan pemulihan. Perusahaan belum mempublikasikan aturan kelayakan, tenggat waktu, atau ketentuan pembayaran untuk hadiah tersebut.
Insiden ini terjadi setelah platform kripto kehilangan sekitar $110 juta akibat peretasan pada bulan Juli, menurut Immunefi. Platform keamanan tersebut juga melaporkan bahwa laporan bug yang dikonfirmasi dan dibayar meningkat sebesar 18% selama bulan tersebut.
GoPlus Security menyatakan penarikan lintas-rantai tampak konsisten dengan kunci hot-wallet yang disusupi atau akses administrator. Penilaian ini masih belum dikonfirmasi, dan memindahkan dana di seluruh Ethereum dan TRON, dengan sendirinya, tidak menunjukkan bagaimana penyerang masuk ke sistem Coinsbuy.
Tidak ada otoritas AS yang secara publik mengumumkan keterlibatan dalam penyelidikan Coinsbuy. Namun, kasus Bybit baru-baru ini menunjukkan bahwa platform yang terdampak dapat menggunakan pengadilan Amerika untuk mendapatkan catatan dan membekukan aset yang melewati layanan dengan koneksi AS. Bybit baru-baru ini mendapatkan dukungan pengadilan AS untuk melacak dana yang dicuri dari pelanggaran $1,5 miliar mereka.
Coinsbuy menyatakan akan mengungkapkan informasi teknis lebih lanjut hanya setelah menyelesaikan dan memverifikasi penyelidikannya. Hingga saat itu, kerugian yang dilaporkan, vektor serangan yang tepat, dan jumlah yang dipulihkan tetap belum terselesaikan.
