Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque coordinado a gran escala, en el que se robaron $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes más grandes: TRON y Ethereum. Mi análisis de los datos on-chain permite reconstruir el panorama completo de lo sucedido.
Cronología del ataque: de la transferencia de prueba a la retirada masiva
El atacante actuó metódicamente. Todo comenzó con una transacción de prueba de 5 USDT en la red TRON, una táctica típica para verificar el funcionamiento del canal. Una hora después llegó la ola principal: se retiraron 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande ascendió a unos 3,5 millones de USDT.
En paralelo, el hacker vació tres direcciones en la red Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Estos fondos se convirtieron rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch. Es notable que la billetera para los intercambios se creó en la misma hora: el atacante claramente actuaba según un plan previamente preparado.
Pista clave: el rastro entre cadenas
Fue posible conectar ambas partes del ataque gracias al uso del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió a la billetera de intercambios cantidades que coincidían con precisión en tamaño y tiempo con las transacciones del atacante. Esto demuestra de manera irrefutable que estamos ante una operación única, y no ante dos hackeos independientes.
El movimiento posterior de los fondos también es revelador: alrededor del 79% de los activos robados pasó por el intercambiador FixedFloat utilizando aproximadamente 50 direcciones desechables. Esta es una práctica estándar para confundir el rastro. Sin embargo, parte de los fondos logró congelarse: el servicio ChangeNOW, tras la solicitud de los analistas de Specter Investigations, bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones.
El extraño comportamiento del equipo de Coinsbuy
El aspecto más intrigante de este caso es la reacción de la propia plataforma. Coinsbuy no hizo declaraciones oficiales, pero en el plazo de un día tras el hackeo, el equipo recargó las billeteras afectadas con 3,93 millones de USDT. Siete de estas transacciones coincidieron con las cantidades robadas con una precisión del 0,05%.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente se informó de pérdidas de $7,9 millones, pero mi cálculo de las transacciones individuales muestra una cifra más precisa: $8 073 992. Este incidente recuerda a la reciente serie de ataques contra propietarios de billeteras de hardware Coldcard, donde el monto del daño alcanzó los $89 millones.
Mi análisis: Recargar direcciones hackeadas después del ataque es una jugada extremadamente inusual. Esto podría indicar que Coinsbuy sospecha de un insider, no de un hacker externo. En ese caso, el equipo intenta atraer al atacante usando las billeteras como señuelo. Sin embargo, esta estrategia es muy arriesgada: si las claves están realmente comprometidas, esos $3,93 millones podrían convertirse en la próxima víctima.