Análisis del ataque a Coinsbuy: $8 millones robados en una operación coordinada entre cadenas
La plataforma cripto Coinsbuy fue víctima de un ataque cuidadosamente planificado, como resultado del cual el 9 de agosto se retiraron $8,07 millones de las redes TRON y Ethereum. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, permite reconstruir los detalles de esta operación.
Cronología y escala del hackeo
El atacante actuó metódicamente: primero una transacción de prueba de 5 USDT en la red TRON, luego, en el transcurso de una hora, se retiraron 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT. Paralelamente, el atacante vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH, que a través del protocolo descentralizado 1inch se convirtieron en 981,1 ETH en una billetera creada en la misma hora.
Evidencia clave: conexión entre cadenas
La prueba decisiva de que ambas partes del ataque son una operación única fue el uso del servicio entre cadenas Bridgers. El contrato de pagos de este protocolo en Ethereum dirigía los fondos a una billetera para intercambios, y los montos y tiempos de las transacciones coincidían completamente con las acciones del hacker. Este es un patrón clásico de retiro coordinado de liquidez.
Movimiento de fondos y congelación de activos
Aproximadamente el 79% de los fondos robados (alrededor de $6,4 millones) pasó a través del intercambiador FixedFloat, donde se utilizaron alrededor de 50 direcciones desechables. Tras la solicitud del servicio analítico Specter Investigations, la plataforma ChangeNOW bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que indica una posible prisa o limitaciones técnicas en el lavado.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En el transcurso de un día después del ataque, el equipo de Coinsbuy recargó las mismas billeteras comprometidas con 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%. Tales acciones no tienen una explicación racional, a menos que el equipo esté seguro de que no hubo una fuga de claves privadas.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Inicialmente se informó de daños por $7,9 millones, sin embargo, mi cálculo de las transacciones individuales muestra una suma exacta de $8 073 992. El vector exacto del ataque aún no se ha determinado, y no ha habido comentarios oficiales de Coinsbuy. Este incidente vuelve a plantear la cuestión de la seguridad de las plataformas centralizadas, especialmente en medio de la reciente serie de hackeos de billeteras de hardware Coldcard, donde las pérdidas superaron los $89 millones.
Mi conclusión: la recarga de direcciones hackeadas es o un grave error en la gestión de riesgos, o una señal de que el ataque fue interno. En cualquier caso, la industria debería prestar atención a las vulnerabilidades de los puentes entre cadenas, que se están convirtiendo en la herramienta favorita de los hackers para confundir las pistas.