Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum — análisis detallado
La plataforma de criptomonedas Coinsbuy se enfrentó a un ataque coordinado a gran escala el 9 de agosto, que resultó en la pérdida de $8,07 millones. Mi análisis de los datos on-chain, realizado junto con investigadores de blockchain, permite reconstruir el panorama completo de este incidente que afectó a las dos redes más grandes: TRON y Ethereum.
Cronología y mecanismo del ataque
El atacante actuó de manera metódica y calculadora. Todo comenzó con una transacción de prueba de 5 USDT en la red TRON, lo que indica una verificación previa del control sobre las billeteras. Luego, en aproximadamente una hora, se retiraron 6,04 millones de USDT desde ocho direcciones. La transferencia individual más grande fue de alrededor de 3,5 millones de USDT, lo que sugiere que el atacante tenía acceso a varias billeteras calientes de la plataforma.
Paralelamente, el hacker vació tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH. Es notable que los fondos se convirtieron rápidamente en 981,1 ETH a través del agregador descentralizado 1inch, y la billetera para los swaps se creó en la misma hora que el ataque en sí. Esto demuestra un alto nivel de preparación y automatización.
La prueba clave de la conexión entre ambas partes del ataque fue el uso del servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto no deja dudas: estamos ante una operación única, no ante incidentes aislados.
Movimiento de los fondos robados
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, para lo cual el atacante utilizó alrededor de 50 direcciones desechables. Esta es una práctica típica para confundir el rastro. Sin embargo, parte de los fondos se logró congelar: el servicio ChangeNOW, tras la solicitud de los analistas de Specter Investigations, bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar prisa o dificultades técnicas del hacker.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy repuso las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Esta es una acción extremadamente ilógica, a menos que el equipo esté seguro de que no hubo una fuga de claves privadas. El dinero sigue en esas direcciones, lo que confirma mi hipótesis: la administración sospecha más de un error interno o una comprometida a nivel de API, que de una pérdida total del control de las claves.
«La dirección es la clave: nadie repone una billetera hackeada con sumas de siete cifras dos veces en una misma noche», señalaron acertadamente los expertos, y comparto plenamente esta posición.
Inicialmente se mencionó una cifra de daños de $7,9 millones, pero mi cálculo detallado de las transacciones individuales permitió precisar las pérdidas en $8 073 992.
Mi conclusión experta: este incidente subraya un problema sistémico de seguridad en los servicios cripto centralizados. Incluso sin una fuga confirmada de claves, ataques del nivel de Coinsbuy demuestran la vulnerabilidad de la infraestructura. A la luz de los recientes robos a propietarios de Coldcard (1367 BTC por ~$89 millones), observamos una tendencia alarmante: los hackers combinan cada vez más herramientas cross-chain y protocolos DeFi para el lavado instantáneo de fondos. Los inversores deberían reconsiderar sus estrategias de almacenamiento de activos, dando preferencia a billeteras de hardware con claves aisladas.