Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
El 9 de agosto, la plataforma cripto Coinsbuy fue víctima de un ataque coordinado y sofisticado, en el que los atacantes extrajeron activos por valor de $8,07 millones. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, permite reconstruir el panorama completo de este incidente.
Cronología del hackeo: de la transacción de prueba a la extracción masiva
El ataque comenzó con una pequeña transacción de prueba de 5 USDT en la red TRON. Este es un truco clásico que utilizan los hackers para verificar el funcionamiento de sus scripts y la seguridad de los canales de retiro. Tras confirmar el éxito, el atacante realizó en el plazo de una hora la extracción de 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT.
En paralelo, se llevó a cabo un ataque contra tres direcciones en la red Ethereum, de donde se filtraron 1,89 millones de USDT y 77 ETH. Es notable que todos los fondos robados fueron convertidos rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch. La billetera para los swaps fue creada en la misma hora, lo que indica una preparación meticulosa.
El rastro cross-chain: cómo se logró vincular ambas partes del ataque
El punto clave en la investigación fue el uso por parte del hacker del servicio cross-chain Bridgers. El análisis del contrato de pagos en Ethereum mostró que los montos enviados a la billetera de swaps coincidían en tamaño y tiempo con las transacciones del atacante en la red TRON. Esto no deja dudas de que ambas partes de la operación formaban parte de un único plan coordinado.
El movimiento posterior de los fondos también fue bien pensado. Alrededor del 79% de los activos robados pasó a través del intercambiador FixedFloat, para lo cual el atacante utilizó aproximadamente 50 direcciones desechables. Gracias a la rápida intervención de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar que el hacker no logró completar el ciclo completo de lavado.
El extraño comportamiento del equipo de Coinsbuy
El aspecto más intrigante de este incidente es la reacción de la plataforma. En el plazo de un día después del ataque, el equipo de Coinsbuy repuso las billeteras afectadas con un total de 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un comportamiento extremadamente inusual para una víctima de un hackeo.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en la filtración de claves privadas. La dirección es la clave: nadie repone una billetera comprometida con sumas de siete cifras dos veces en una misma noche», — esta es una observación clave que pone en duda la versión de una simple compromisión de claves.
Inicialmente se informó de daños por $7,9 millones, sin embargo, mi recuento detallado de las transacciones individuales permitió establecer la suma exacta de las pérdidas: $8 073 992. Es notable que este incidente ocurre en medio de una serie de grandes robos en la industria: recuerdo que el 31 de julio, a los propietarios de billeteras de hardware Coldcard les fueron robados 594,48 BTC (~$38,2 millones), y como resultado de las posteriores oleadas de ataques, el monto de los daños aumentó a 1367 BTC (~$89 millones).
Mi veredicto: este caso demuestra una tendencia alarmante hacia el uso de infraestructura cross-chain para confundir los rastros. El hecho de que el equipo de Coinsbuy continúe reponiendo las direcciones comprometidas indica un posible carácter interno del ataque o la existencia de una vulnerabilidad que la plataforma prefiere ocultar. Los inversores deberían tener una mayor precaución al trabajar con plataformas que no revelan los detalles de los incidentes de seguridad.