Ataque a Coinsbuy: análisis detallado del robo de $8 millones en las redes TRON y Ethereum
Mi análisis de los datos on-chain muestra que el incidente con la plataforma cripto Coinsbuy el 9 de agosto fue una operación cuidadosamente planificada, no un hackeo aleatorio. El daño total ascendió a $8 073 992, superando las estimaciones iniciales de $7,9 millones. El atacante actuó metódicamente, comenzando con una transferencia de prueba de 5 USDT en la red TRON, tras lo cual vació ocho billeteras por 6,04 millones de USDT en el transcurso de una hora. El retiro individual más grande alcanzó aproximadamente 3,5 millones de USDT.
Ataque paralelo en Ethereum y rastro cross-chain
Simultáneamente, el hacker retiró 1,89 millones de USDT y 77 ETH desde tres direcciones en Ethereum. Estos fondos fueron convertidos a través del protocolo descentralizado 1inch en 981,1 ETH hacia una billetera creada en la misma hora. La evidencia clave es el uso del puente cross-chain Bridgers: su contrato de pagos en Ethereum transfirió a la dirección para swaps cantidades que coinciden en tiempo y volumen con las transacciones del atacante. Esto vincula inequívocamente ambas partes del ataque en una sola cadena.
Especial atención atrae la ruta de lavado de fondos. Alrededor del 79% de los activos robados pasó a través del intercambiador FixedFloat, que utilizó aproximadamente 50 direcciones desechables. Gracias a la respuesta rápida del servicio ChangeNOW, se logró congelar 150 ETH (~$288 000), y otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones. Esto sugiere que parte de los fondos aún podría recuperarse si los intercambios continúan cooperando.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En el transcurso de un día después del hackeo, el equipo recargó las mismas 10 direcciones comprometidas con 3,93 millones de USDT. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Tales acciones son ilógicas si se asume una fuga de claves privadas. Como señalan acertadamente los investigadores, nadie envía sumas de siete cifras a una billetera hackeada dos veces en una noche, a menos que esté seguro de su seguridad. Probablemente, el equipo de Coinsbuy considera el incidente como un error interno o una falla temporal, no como una compromisión de claves.
El vector exacto del ataque aún no se ha determinado, y no hay comentarios oficiales de la plataforma. Sin embargo, este caso subraya la creciente tendencia hacia ataques cross-chain complejos, donde los atacantes utilizan puentes para confundir rastros. En el contexto de los recientes robos a propietarios de Coldcard por $89 millones, el incidente con Coinsbuy demuestra que incluso plataformas con infraestructura aparentemente sólida son vulnerables ante acciones coordinadas.
Mi opinión experta: La recarga de las billeteras hackeadas es o un acto de desesperación, o un indicio de que el incidente tiene una naturaleza interna. En cualquier caso, el mercado necesita estándares de seguridad más estrictos para operaciones cross-chain; de lo contrario, veremos nuevas olas de ataques similares.