Аналіз злому Nova Trading: як зручність стала вразливістю

Криптокористувачі часто вважають швидкість та зручність головними характеристиками інструментів для роботи з активами, забуваючи про безпеку. Ця необачність може обернутися втратами у сотні тисяч доларів. 16 вересня 2025 року трейдер за кілька годин втратив понад $576,000 через централізоване зберігання приватних ключів та слабку систему захисту платформи Nova Trading, бота на базі Solana.

У цій статті ми розберемо, що сталося, які помилки були критичними та які уроки можуть винести трейдери та компанії, щоб захистити свої криптоактиви від подібних ризиків.

Коротко про головне

1. Nova Trading Platform — це Telegram-бот для торгівлі на Solana, який виконує угоди від імені користувачів, підтримує автоматизацію, копітрейдинг та роботу з кількома підключеними гаманцями одночасно.
2. Приватні ключі користувачів централізовано зберігаються на серверах Nova, що створює єдину точку відмови: будь-яка витік або злом сервера миттєво ставить під загрозу всі підключені гаманці.
3. Вночі 16 вересня 2025 року з гаманця трейдера було викрадено криптовалюту на суму ~$576,000. Постраждалий публічно задокументував інцидент у X, зазначивши, що кошти були списані через серію великих транзакцій за короткий проміжок часу.
4. $200,000 із гаманця залишилися неушкодженими, що свідчить про цілеспрямовану атаку, а не випадкове пограбування, із частковим фокусом на певні активи.
5. Викрадені кошти були пропущені через легальні DeFi-протоколи, включаючи агрегатори токенів та пули ліквідності, що значно ускладнило їхнє відстеження та спроби повернення.
6. Інцидент виявив структурний ризик платформи: зручність використання через Telegram-бота та автоматизація угод досягнуті за рахунок базової безпеки.
7. Практичні рекомендації щодо безпеки для трейдерів та команд.

Що таке Nova Trading Platform

Nova Trading Platform — це торговий бот на базі Solana, який повністю функціонує через Telegram. Він надає користувачам швидкий та зручний доступ до криптовалютної торгівлі завдяки наступним характеристикам та інструментам:

• Підтримка до 10 одночасно підключених гаманців.
• Модулі автоматизації (Ultra V2 та Demon) на базі блок-двигуна Jito для високошвидкісних транзакцій та захисту від MEV.
• Копітрейдинг у реальному часі, повторення стратегій «китів».
• Вбудоване управління ризиками з автоматичними налаштуваннями take-profit та stop-loss.
• Структура комісій: 1% за угоду + газ.
• Реферальна програма: до 30% від комісій прямих рефералів.
• Nova Click (розширення для Chrome): додає кнопки торгівлі безпосередньо на DEX-платформах, таких як BullX та Photon.

На практиці Nova виступає посередником, виконуючи транзакції від імені користувачів через Telegram, що робить управління угодами максимально простим, але при цьому створює ризики для безпеки коштів.

Факти про інцидент

Постраждалий трейдер із ніком Cupseyy (@Cupseyy) публічно задокументував інцидент у X. На момент злому його гаманець був підключений лише до чотирьох платформ:

• Jupiter (DEX на Solana).
• Axiom (торгова платформа).
• Photon (торговий бот).
• Nova (торговий бот).

Трейдер виключає можливість атаки через браузер, оскільки просто не використовував розширення. За його словами, це був ручний «злив» — свідомі дії людини, а не скрипти. На це вказують неушкоджені $200,000, які зловмисник залишив у гаманці.

Атака почалася 16 вересня 2025 о 11:21 UTC. Кошти виводили великими транзакціями у вузькому часовому вікні та розподіляли по кількох адресах. Ось як виглядає детальний збиток користувача з розбивкою по блокчейнах та транзакціях.

Загальні підтверджені втрати (консервативно): $576,000+. Викрадені активи були пропущені через легальні DeFi-протоколи, що ускладнило відстеження та повернення коштів:

• Jupiter Aggregator для обміну токенів.
• Jupiter Labs Perpetuals для деривативних угод.
• Phoenix liquidity pools для додаткового заплутування.

Злом — наслідок структурної проблеми

Інцидент із крадіжкою коштів став можливим через саму архітектуру платформи. Її розробники поставили зручність та швидкість вище базової безпеки.

Централізоване зберігання приватних ключів

Для автоматизації торгівлі Nova зберігає приватні ключі користувачів на своїх серверах. Це створює єдину точку відмови: злом сервера або інсайдерська атака миттєво ставить під загрозу всі підключені гаманці.

Розширена поверхня атаки через інтеграції

Екосистема Nova включає Nova Click (Chrome) та інтеграції з іншими інструментами, такими як Axiom Pro, які вимагають синхронізації приватних ключів між сервісами, що значно підвищує ризик.

Атаці передували скарги

Протягом вересня 2025 року кілька користувачів повідомляли про проблеми з безпекою Nova. Дехто навіть припускав участь недобросовісного розробника, хоча доказів та публічного підтвердження немає. У сукупності ці скарги вказують на системний дефект, який міг торкнутися десятків користувачів, що довірили свої приватні ключі платформі.

Розбір моделі ризиків: коли зручність UX суперечить базовій безпеці

Telegram-боти швидкі, прості та привабливі для трейдерів, але більшість з них жертвують фундаментальними принципами володіння заради зручності:

• Приватні ключі зберігаються в хмарі.
• Підписання транзакцій залежить від централізованих API.
• Вихідний код і інфраструктура закриті та непрозорі.

Це означає, що навіть невелика помилка конфігурації або витік може миттєво позбавити користувача його активів. Принцип галузі: «Не твої ключі — не твої монети» — це не кліше, а основа криптобезпеки. Як тільки третя сторона починає контролювати ваші ключі, ви втрачаєте контроль над своїми коштами.

Практичні рекомендації для трейдерів та команд

Якщо ви користуєтеся Telegram-ботами для торгівлі, ці правила безпеки обов’язкові:

• Ніколи не зберігайте значні суми в гаманцях бота, лише робочий баланс, необхідний для торгівлі.
• Регулярно виводьте прибуток на холодні гаманці, якими ви повністю володієте.
• Перевіряйте, які засоби захисту активів користувачів використовує платформа, перед депозитом.
• Вивчайте попередні інциденти та звіти користувачів, ігноруйте маркетинг і спирайтеся на докази.
• Віддавайте перевагу децентралізованим біржам, де ви зберігаєте ключі. Якщо використовуєте посередників, тримайте у них лише мінімальні робочі суми.
• Аудитуйте права доступу та інтеграції всіх підключених застосунків. Налаштуйте сповіщення про незвичайну активність або несанкціонований доступ.

Висновок

Історія Nova Trading демонструє, що навіть найпередовіші інструменти втрачають сенс, якщо ігноруються базові правила безпеки. Контроль над приватними ключами залишається єдиним надійним способом зберегти активи.

Якщо платформа просить ваш приватний ключ, вона просить ваші кошти. У DeFi це компроміс, на який жоден серйозний трейдер чи бізнес не повинен погоджуватися. Ніхто, окрім вас, не повинен мати доступ до ваших приватних ключів. Зв’яжіться з нашою командою, щоб дізнатися, які технології забезпечують безпеку активів клієнтів BitHide.