Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma de criptomonedas Coinsbuy se enfrentó a un ataque coordinado a gran escala, perdiendo $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes más grandes: TRON y Ethereum. Mi análisis de los datos on-chain permite reconstruir la cronología de las acciones del atacante e identificar los detalles clave de esta operación.
Cronología del ataque: de la transacción de prueba a la retirada masiva
El atacante comenzó con reconocimiento: ejecutó una transacción de prueba de 5 USDT en la red TRON. Luego, en aproximadamente una hora, se retiraron 6,04 millones de USDT desde ocho billeteras. La operación más grande fue de unos 3,5 millones de USDT. Paralelamente, el hacker vació tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH.
Es notable que los fondos se convirtieron rápidamente: a través del protocolo descentralizado 1inch, el atacante intercambió los activos robados por 981,1 ETH, utilizando una billetera creada en la misma hora. Esto indica un alto nivel de preparación y automatización del proceso.
Conexión entre redes y movimiento de fondos
El elemento clave que permitió vincular ambas partes del ataque fue el servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían en tamaño y tiempo con las transacciones del atacante. Esta es una prueba convincente de que estamos ante una operación coordinada única, no ante dos incidentes aislados.
Aproximadamente el 79% de los fondos robados pasó por el intercambiador FixedFloat, para lo cual se utilizaron unas 50 direcciones desechables. Gracias a la rápida reacción de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones, lo que da esperanzas de su recuperación.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este comportamiento es extremadamente inusual para víctimas de un hackeo.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Inicialmente, el daño se estimó en $7,9 millones, pero mi cálculo detallado de las transacciones individuales muestra pérdidas de $8 073 992. El incidente con Coinsbuy es solo parte de una tendencia alarmante: recuerdo que a finales de julio, a los propietarios de billeteras de hardware Coldcard les robaron 594,48 BTC (~$38,2 millones), y esa cantidad posteriormente aumentó a 1367 BTC (~$89 millones).
Mi comentario: La situación con Coinsbuy plantea más preguntas que respuestas. La recarga voluntaria de direcciones hackeadas es o un gesto de desesperación para preservar la reputación, o un indicio de que el incidente podría ser interno. En cualquier caso, este caso subraya la importancia crítica de la seguridad de las claves privadas y la necesidad de verificar minuciosamente a las contrapartes en el ecosistema DeFi.