Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
El 9 de agosto, la plataforma cripto Coinsbuy fue víctima de un ataque hacker coordinado que afectó a las redes TRON y Ethereum. Durante el incidente, los atacantes lograron retirar activos por valor de $8,07 millones, y mi análisis de los datos on-chain confirma: no fue un robo casual, sino una operación cuidadosamente planificada.
Cronología del hackeo: de la transacción de prueba a la retirada masiva
El atacante comenzó con algo pequeño: una transferencia de prueba de 5 USDT en la red TRON. Sin embargo, en menos de una hora, se retiraron 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT, lo que indica la ausencia de disparadores de seguridad o límites automáticos en la plataforma.
En paralelo, el hacker vació tres direcciones en la red Ethereum, robando 1,89 millones de USDT y 77 ETH. Estos fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los intercambios se creó en la misma hora que el ataque. Tal rapidez indica un alto nivel de preparación.
El elemento clave que vinculó ambas partes del ataque fue el servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de intercambios cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto no deja dudas de que estamos ante una operación única, no ante dos incidentes independientes.
Los rastros conducen a los intercambios
Aproximadamente el 79% de los fondos robados pasó por el intercambio FixedFloat, para lo cual el atacante utilizó alrededor de 50 direcciones desechables. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288,000 al momento de la publicación). Otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones, lo que podría indicar un intento del hacker de esperar el momento adecuado.
Es notable que el vector exacto del ataque aún no se haya determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. Sin embargo, mi análisis muestra un detalle extraño: en las 24 horas posteriores al hackeo, el equipo de la plataforma recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las sumas robadas con una precisión del 0,05%.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Las estimaciones iniciales de los daños eran de $7,9 millones, pero un recuento minucioso de las transacciones individuales permitió determinar la suma exacta de las pérdidas: $8,073,992.
Este incidente recuerda un problema más amplio: el 31 de julio, los propietarios de billeteras de hardware Coldcard fueron víctimas de un ataque, perdiendo 594,48 BTC (~$38,2 millones), y luego la suma de los daños aumentó a 1367 BTC (~$89 millones). Esta serie de hackeos subraya la vulnerabilidad incluso de las plataformas que se consideran confiables.
Mi comentario: El comportamiento extraño del equipo de Coinsbuy, recargando las billeteras hackeadas, plantea más preguntas que respuestas. O bien es un intento de ocultar negligencia interna, o bien una señal de que el ataque se realizó a través de una vulnerabilidad en un servicio de terceros, no mediante la compromisión de claves. En cualquier caso, este caso es otro recordatorio de que, incluso después de un incidente, las plataformas deben actuar con transparencia; de lo contrario, la confianza de los usuarios se verá definitivamente socavada.