Довгострокова атака на інвестора HEX і відвернений витік Morpho Labs — новини кібербезпеки

Довгостроковий інвестор у HEX, відомий як HEX19, втратив понад $4,5 млн унаслідок злому. Про це пише Cointelegraph з посиланням на власні джерела.

Зловмисник поступово виводив кошти з гаманця інвестора, на якому токени HEX перебували в стейкінгу. Спочатку спільнота вирішила, що власник сам знімає кошти. Але потім стало зрозуміло — гаманець зламали.

Хакерська атака розтягнулася на кілька років: перший витік коштів зафіксовано наприкінці 2021 року, а останній — у березні 2025-го. Кошти проходили через фішингові адреси, пов’язані з онлайн-персоною Konpyl.

Цей самий зловмисник фігурував в інших схемах, включно з фейковим гаманцем Rabby.

Згідно з інсайдерською інформацією, гаманці зломника перетинаються з адресами, використаними в схемах Inferno Drainer — сервісу для фішингових атак.

«HEX19 став жертвою через зберігання сід-фрази в хмарі», — зазначив анонімний експерт.

За його словами, зловмисник діяв за характерною для Konpyl схемою.

Перша велика транзакція відбулася 21 листопада 2021 року — з гаманця HEX19 відправили майже $4 млн у HEX. Гроші розподілили за кількома адресами. Частина коштів потрапила в Tornado Cash, інша — на біржі та в DeFi-протоколи для відмивання.

До 2024 року хакери вивели ще $108 000.

HEX19 не розраховує повернути гроші, але сподівається, що його досвід допоможе іншим двічі подумати, перш ніж зберігати свої сід-фрази в інтернеті.

Частина його коштів досі застейкана, але хакери можуть отримати їх після розблокування.

Атака на Morpho Labs

10 квітня команда Morpho Labs оновила інтерфейс додатка Morpho Blue. Через добу хакер скористався вразливістю, пов’язаною зі змінами, і вивів з однієї з адрес $2,6 млн. Блокчейн-аналітики з PeckShield підтвердили витік.

Однак відомий MEV-оператор під псевдонімом c0ffeebabe.eth запобіг виведенню активів. Він випередив зловмисника, перехопивши кошти та переказавши їх на іншу адресу.

Після інциденту Morpho Labs скасувала оновлення інтерфейсу.

Згідно із заявою компанії, роботу протоколу відновлено, а кошти користувачів у безпеці. Також команда підтвердила, що причину проблеми усунуто, а деталі розслідування опублікують пізніше.

C0ffeebabe.eth відомий відновленням коштів після DeFi-атак. У 2023 році він повернув $5,4 млн, викрадених із Curve Finance. У 2024 він же запобіг виведенню коштів із протоколу Blueberry.

Нагадаємо, загальна сума збитків від 265 криптозломів за весь 2024 і перші два місяці 2025 року перевищила $3,83 млрд, повідомили фахівці Global Ledger.