Ví Holdstation был взломан на 462.000 USDT: Вот как хакеры обошли MFA и вывели деньги за 2 минуты
26/02/2026 – Проект умного кошелька DeFAI Holdstation, базирующийся во Вьетнаме (строится на Worldcoin и BNB Chain), подтвердил, что стал жертвой серьезной атаки на цепочку поставок, произошедшей в ранние часы 25/02/2026. Общий ущерб составил 462 000 USDT.
Это вторая инцидент безопасности проекта в 2026 году, после утечки примерно 100 000 USD в январе.
Атака на цепочку поставок: не на smart contract, а на инфраструктуру распространения
По официальному заявлению, хакер не проник напрямую в кошельки пользователей или в смарт-контракты. Компания Holdstation и аудиторы из Verichains подтвердили, что смарт-контракты остаются в безопасности.
Вместо этого злоумышленник нацелился на инфраструктуру распространения приложения — место, где предоставляются обновления для пользователей.
Конкретно, хакер:
После контроля инфраструктуры, злоумышленник отредактировал файл JavaScript в официальной версии приложения, вставив вредоносный код в виде бэкдора. Пользователи, обновляя приложение, случайно устанавливали зараженную версию.
Механизм «тихого» вывода средств
Вредоносный код был разработан так, чтобы активироваться сразу после установки:
В результате, многие кошельки были очищены от средств всего за несколько минут после выпуска зараженного обновления.
Срочные меры реагирования в течение 30 минут от Holdstation
Согласно опубликованной хронологии (UTC+7):
Затем Holdstation совместно с Verichains проанализировали данные on-chain и собрали доказательства для расследования.
Общий подтвержденный ущерб на данный момент составляет 462 000 USDT.
Обещание полного возмещения пользователям
Holdstation обещает возместить 100% стоимости пострадавших активов. Пользователи должны заполнить официальную форму по ссылке:
https://forms.gle/9FriUzFWHx6ZPXCS7
Команда проведет проверку on-chain и подтвердит право собственности на кошельки перед возвратом. Проект подчеркивает, что для возмещения не требуется seed phrase, приватный ключ или любые сборы.
Уроки безопасности для отрасли
Инцидент показывает, что даже при наличии безопасных смарт-контрактов уязвимости на уровне инфраструктуры распространения программного обеспечения могут привести к значительным потерям. Это пример атаки на цепочку поставок — когда злоумышленник проникает в «входные точки» продукта, а не атакует напрямую пользователей.
Holdstation сообщает, что обновляет весь процесс выпуска, включая:
Дело привлекает большое внимание криптосообщества Вьетнама, поскольку Holdstation — один из проектов DeFi-кошельков, базирующихся в Хошимине.
Проект обещает продолжать информировать о ходе расследования в ближайшее время.
Связанные статьи
Испанская полиция ликвидировала незаконную майнинговую ферму Bitcoin, подозреваемая в мошенничестве с электроэнергией на сумму свыше 860 000 евро
Обновление Pi Network v19.9 открывает путь к запуску Pi DEX
Lido приостановил пополнение через мост ZKsync, вызвав опасения по безопасности, LDO и ZK оба снижаются
Бывший полицейский LAPD признан виновным в краже криптовалюты на сумму 350 000 долларов и похищении
Премьер-министр Японии Такаси Санае опроверг связь с одноимённой Meme-монетой, цена токена резко упала более чем на 85%
Бывший офицер LAPD признан виновным в ограблении Bitcoin с применением $350K «взрывателя» во время нападения