Сингапурский платёжный оператор Triple-A продолжает нести потери из-за скомпрометированных горячих кошельков — к 30 июля 2026 года ущерб достиг $11,8 млн, увеличившись с $9,3 млн, зафиксированных в пятницу. Об этом сообщил ончейн-исследователь Specter. Первоначально активность была замечена в сетях TRON, Ethereum, TON и Solana, позже к ним добавился Bitcoin. Средства оперативно конвертировались и перемещались через мосты в Ethereum, консолидируясь на основном адресе, где, по данным PeckShield, скопилось порядка 5 227 ETH (~$9,7 млн).
Несмотря на публичные предупреждения Specter и заявление Triple-A о расследовании, функция депозитов на затронутых кошельках оставалась активной более 31 часа после первых крупных оттоков. Компания, лицензированная Денежно-кредитным управлением Сингапура, подчеркнула, что клиентские средства не пострадали, однако не предоставила деталей о методе доступа. Инцидент высветил трудности быстрой изоляции мультичейн-инфраструктуры горячего хранения, используемой для обработки платежей.
Параллельно протокол децентрализованных деривативов AFX сообщил о подготовке «плана доброй воли» для пользователей, потерявших $24,15 млн USDC в результате взлома моста 22 июля. Детали компенсаций обнародуют 3 августа. Расследование AFX показало, что атака началась с социальной инженерии: 9 июля злоумышленник под видом рекрутера компании Oddium Lab убедил разработчика клонировать репозиторий с вредоносной Git-конфигурацией. Это дало первоначальный доступ к рабочей станции, а затем и к внутренним системам разработки.
Злоумышленник загрузил вредоносный Groovy-плагин в репозиторий артефактов JFrog, добившись удалённого выполнения кода в среде доставки ПО. Многократные ошибки нехватки памяти списывались на операционные проблемы, и плагин пережил несколько перезапусков. Позднее атакующий заменил системные бинарные файлы троянизированными версиями и внедрил вредоносные библиотеки, пытаясь замести следы. Скомпрометировав внутреннюю Ansible-инфраструктуру, он использовал легитимные доверительные отношения для загрузки вредоносного ПО на валидаторы AFX. 22 июля в 21:27 UTC инфицированные валидаторы подписали мостовую транзакцию, выведя 24,15 млн USDC. Средства были конвертированы в ~12 467 ETH и переведены в Ethereum. Протокол подчеркнул, что нативный мост Arbitrum не был скомпрометирован — атака ограничилась инфраструктурой AFX.
По выводам экспертов, методы соответствуют профилю северокорейской группировки UNC4899 (TraderTraitor). AFX уже перестроил затронутую инфраструктуру, внедрил изоляцию с нулевым доверием и усилил мониторинг. Оба инцидента — Triple-A и AFX — формируют тревожный тренд: злоумышленники всё чаще атакуют не смарт-контракты, а внечейновую инфраструктуру и цепочки поставок ПО.
