Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma cripto Coinsbuy se enfrentó a un ataque coordinado a gran escala, en el que el 9 de agosto se robaron $8,07 millones. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, muestra que el incidente afectó a dos de las redes más grandes a la vez: TRON y Ethereum, lo que indica un alto nivel de organización por parte de los atacantes.
Cronología del hackeo: de la transacción de prueba a los millones
El ataque comenzó con una pequeña transacción de verificación de 5 USDT en la red TRON. Este es un truco clásico que permite a los hackers asegurarse de que el canal de retiro funciona antes de un robo a gran escala. En menos de una hora, el atacante vació ocho billeteras, extrayendo 6,04 millones de USDT. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT; es evidente que el delincuente actuó rápidamente para minimizar el riesgo de bloqueo de fondos.
Paralelamente, en Ethereum se atacaron tres direcciones, de las que se filtraron 1,89 millones de USDT y 77 ETH. Es notable que el hacker convirtió instantáneamente estos fondos a través del protocolo descentralizado 1inch en 981,1 ETH, utilizando una billetera creada en la misma hora. Esta velocidad y precisión indican el uso de scripts automatizados.
El rastro entre cadenas y las herramientas de lavado
La prueba clave de la conexión entre ambos ataques fue la actividad del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió a la dirección de swaps cantidades que coincidían perfectamente en tiempo y tamaño con las transacciones del atacante. Esto no deja dudas de que estamos ante una operación única, y no ante incidentes aislados.
El análisis del movimiento de los fondos robados muestra que alrededor del 79% de los activos se pasó a través del intercambiador FixedFloat utilizando aproximadamente 50 direcciones desechables. Este es un esquema típico para confundir el rastro. Sin embargo, parte de los activos delictivos ya está congelada: el servicio ChangeNOW, respondiendo a la solicitud de Specter Investigations, bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones, lo que da esperanzas de su posterior identificación.
El extraño comportamiento del equipo de Coinsbuy
El aspecto más intrigante de este caso es la reacción de la plataforma. En las 24 horas posteriores al hackeo, el equipo de Coinsbuy repuso las billeteras afectadas con 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%. Esto parece extremadamente ilógico, a menos que los desarrolladores estén seguros de que no hubo una fuga de claves privadas. Como acertadamente señalaron mis colegas, nadie en su sano juicio repondría una billetera comprometida con sumas de siete cifras dos veces en una misma noche.
Cabe señalar que inicialmente se informó de pérdidas de $7,9 millones, pero mi recuento detallado de las transacciones individuales mostró una cifra más precisa: $8 073 992. Esta discrepancia subraya la importancia de un análisis on-chain exhaustivo.
Contexto: una ola de ataques a la industria cripto
Este incidente ocurre en medio de una serie de hackeos sonados. Recordemos que el 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard fueron víctimas de un ataque, robándoles 594,48 BTC (~$38,2 millones). Posteriormente, el monto del daño aumentó a 1367 BTC (~$89 millones). Esta tendencia genera una seria preocupación: los atacantes perfeccionan sus métodos y las plataformas no siempre están preparadas para tales desafíos.
Mi veredicto: el caso de Coinsbuy demuestra que incluso las plataformas de tamaño mediano pueden convertirse en objetivo de ataques complejos entre cadenas. Recomiendo a todos los proyectos revisar sus protocolos de seguridad, especialmente en lo que respecta a la gestión de billeteras calientes y el monitoreo de actividad sospechosa. El hecho de que el equipo continúe reponiendo las direcciones atacadas, o bien indica su confianza en su propia seguridad, o bien apunta a un posible componente interno: esta es una cuestión que requiere una investigación inmediata.