Hackeo de Coinsbuy por $8 millones: ataque a dos blockchains y extraño comportamiento del equipo
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque coordinado a gran escala que afectó simultáneamente a las redes TRON y Ethereum. El daño total ascendió a 8,07 millones de dólares, y mi análisis de los datos on-chain permite reconstruir los detalles de esta compleja operación de múltiples pasos, ocurrida el 9 de agosto.
Cronología del ataque: desde la transferencia de prueba hasta la retirada masiva de fondos
El atacante actuó metódicamente. Todo comenzó con una transacción de prueba de 5 USDT en la red TRON, una táctica estándar para verificar el funcionamiento de los canales de retiro. Una hora después llegó la ola principal: desde ocho billeteras en la blockchain de TRON se retiraron 6,04 millones de USDT. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT, lo que indica un esquema de distribución de fondos previamente planificado.
En paralelo, el hacker vació tres direcciones en la red Ethereum, robando 1,89 millones de USDT y 77 ETH. Es notable que todos los fondos fueron convertidos rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps fue creada en la misma hora que el ataque en sí. Esto demuestra un alto nivel de preparación.
Conexión entre cadenas: cómo se logró unir ambas partes del ataque
El elemento clave de la investigación fue el uso del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto permitió afirmar con un alto grado de confianza que estamos ante una sola operación, y no ante dos incidentes independientes.
Un análisis posterior mostró que aproximadamente el 79% de los fondos robados pasó por el intercambiador FixedFloat utilizando alrededor de 50 direcciones desechables. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~288 000 dólares). Otros 282 ETH (~542 000 dólares) permanecen intactos en cinco direcciones; probablemente, el hacker espera el momento adecuado para blanquearlos.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante de este incidente es la reacción de la propia plataforma. Coinsbuy no emitió comentarios oficiales, pero en el plazo de un día tras el ataque, el equipo recargó las billeteras afectadas con 3,93 millones de USDT. Siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este es un paso extremadamente inusual.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los investigadores.
Inicialmente se informó de un daño de 7,9 millones de dólares, pero mi cálculo de las transacciones individuales muestra pérdidas de 8 073 992 dólares. El vector exacto del ataque aún no se ha determinado, lo que deja abierta la cuestión sobre la competencia interna del equipo o un posible uso de información privilegiada.
Mi comentario: Recargar billeteras hackeadas es un caso casi sin precedentes. O el equipo está seguro de que las claves no se han visto comprometidas y el ataque fue un error interno, o es un intento de encubrir las huellas. En cualquier caso, el incidente con Coinsbuy es otro recordatorio de que incluso las plataformas con facturaciones multimillonarias no están a salvo de ataques complejos entre cadenas. En el contexto del reciente robo de 1367 BTC a propietarios de Coldcard, este caso confirma una tendencia preocupante: los hackers son cada vez más sofisticados, y la protección, una tarea cada vez más difícil.