Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque hacker coordinado, en el que se robaron $8,07 millones. El incidente ocurrió el 9 de agosto, y mis colegas de BlockWatchdog llevaron a cabo un análisis detallado de los datos on-chain para reconstruir lo sucedido.
Cronología del hackeo: de la transacción de prueba al retiro masivo
El atacante actuó metódicamente. Todo comenzó con una transferencia de prueba de 5 USDT en la red TRON, una táctica típica para verificar el control sobre la billetera. Una hora después, siguió una serie de transacciones: se retiraron 6,04 millones de USDT desde ocho direcciones en la blockchain de TRON. La transferencia individual más grande ascendió a unos impresionantes ~3,5 millones de USDT.
En paralelo, el hacker vació tres billeteras en la red Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Estos fondos se convirtieron rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch; es notable que la billetera para los swaps se creó en la misma hora, lo que indica una preparación cuidadosa.
Rastro cross-chain: cómo los investigadores vincularon ambos ataques
La prueba clave de una operación unificada fue el uso del servicio cross-chain Bridgers. El análisis mostró que el contrato de pagos en Ethereum enviaba fondos a la billetera de swaps en cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto no deja dudas de que estamos ante una campaña coordinada.
El seguimiento posterior reveló que alrededor del 79% de los fondos robados pasó por el intercambiador FixedFloat, donde el hacker utilizó aproximadamente 50 direcciones desechables para confundir el rastro. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones; probablemente, el atacante espera el momento para legitimarlos.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante de este hackeo es la reacción de la plataforma. En el plazo de un día tras el ataque, el equipo de Coinsbuy recargó las billeteras afectadas con 3,93 millones de USDT, las mismas 10 direcciones que fueron comprometidas. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Esta es una decisión extremadamente inusual.
«El dinero sigue ahí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente se informó de pérdidas de $7,9 millones, pero mi análisis de transacciones individuales permite establecer la cantidad exacta del daño: $8 073 992. Es notable que este incidente ocurre en medio de una serie de grandes robos en la industria: el 31 de julio, a los propietarios de billeteras de hardware Coldcard se les robaron 594,48 BTC (~$38,2 millones), y esta cantidad posteriormente aumentó a 1367 BTC (~$89 millones).
Mi evaluación experta: Recargar las billeteras hackeadas es o un gesto de desesperación o una señal de que la vulnerabilidad no era de naturaleza técnica, sino que estaba relacionada con procesos internos. En cualquier caso, la industria debe replantearse su enfoque en la gestión de claves: vemos con demasiada frecuencia cómo incluso las grandes plataformas descuidan los principios básicos de seguridad.