Ataque a Coinsbuy: 8 millones de dólares se esfumaron en las redes TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de una operación de hackeo bien coordinada, que resultó en el retiro de $8,07 millones de sus billeteras en las blockchains de TRON y Ethereum el 9 de agosto. Mi análisis de los datos on-chain muestra que el ataque fue cuidadosamente planificado y ejecutado con un alto grado de preparación técnica.
Cronología y alcance del hackeo
El atacante comenzó con una transacción de reconocimiento de 5 USDT en la red TRON para verificar el control sobre las billeteras. Solo una hora después, siguió la ola principal: se retiraron 6,04 millones de USDT desde ocho direcciones, siendo la transferencia individual más grande de aproximadamente 3,5 millones de USDT. En paralelo, el hacker vació tres direcciones en la red Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Estos fondos fueron convertidos instantáneamente en 981,1 ETH a través del protocolo descentralizado 1inch hacia una billetera creada en la misma hora.
La prueba clave de una operación unificada fue el uso del servicio cross-chain Bridgers. Su contrato de pagos en Ethereum enviaba fondos a una dirección para swaps con montos que coincidían con precisión en tiempo y volumen con las transacciones atacantes. Esto vincula ambas partes del ataque en una sola cadena de acciones.
Rastros y congelamiento de activos
Aproximadamente el 79% de los fondos robados pasaron por el intercambiador FixedFloat, para lo cual se utilizaron alrededor de 50 direcciones desechables, una práctica clásica para confundir los rastros. Sin embargo, parte de los activos logró congelarse: el servicio ChangeNOW bloqueó 150 ETH (~$288,000), y otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones, probablemente esperando su retiro.
El aspecto más intrigante es el comportamiento del propio equipo de Coinsbuy. En las 24 horas posteriores al ataque, la plataforma recargó las mismas billeteras comprometidas con 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un paso extremadamente inusual.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los investigadores.
Las estimaciones iniciales de daños eran de $7,9 millones, pero al calcular detalladamente las transacciones individuales, la suma final alcanzó los $8,073,992. El vector exacto del ataque aún no se ha determinado, y no ha habido comentarios oficiales de Coinsbuy.
Para contexto: esta no es la primera gran estafa de esta temporada. Recuerdo que el 31 de julio, los propietarios de las billeteras de hardware Coldcard fueron víctimas: se les robaron 594,48 BTC (~$38,2 millones), y esa cantidad posteriormente aumentó a 1367 BTC (~$89 millones).
Mi comentario: Recargar las direcciones hackeadas después del ataque es o bien un indicio de un incidente interno, o un intento extremadamente arriesgado de restaurar la liquidez. En cualquier caso, este caso subraya la importancia de la seguridad en múltiples niveles y una respuesta rápida ante actividad sospechosa. El mercado debería prestar más atención a los movimientos futuros en estas direcciones.