Ataque a Coinsbuy: análisis de las huellas on-chain y el misterioso comportamiento del equipo
La plataforma cripto Coinsbuy fue víctima de un ataque coordinado que resultó en la extracción de $8,07 millones de las redes TRON y Ethereum el 9 de agosto. Esto no es un hackeo común: el análisis de las transacciones indica una operación cuidadosamente planificada con el uso de herramientas cross-chain y esquemas de lavado de dinero complejos.
Cronología y magnitud del hackeo
El atacante actuó metódicamente. Comenzando con una transferencia de prueba de 5 USDT en la red TRON, en una hora vació ocho billeteras, extrayendo 6,04 millones de USDT. La mayor transferencia individual fue de aproximadamente 3,5 millones de USDT. Paralelamente, el hacker atacó tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH. Es notable que todos los fondos fueron convertidos en 981,1 ETH a través del agregador descentralizado 1inch: la billetera para los swaps fue creada en la misma hora, lo que indica una infraestructura preparada de antemano.
Conexión cross-chain y rutas de lavado
La prueba clave de una operación unificada fue la actividad a través del servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto permitió vincular ambas partes del ataque en una sola cadena.
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, donde se utilizaron alrededor de 50 direcciones desechables. Parte de los fondos logró congelarse: ChangeNOW bloqueó 150 ETH (~$288 000), y otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que da esperanza de recuperar parte de los activos.
Comportamiento extraño del equipo de Coinsbuy
Lo más curioso de esta historia es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy recargó las mismas billeteras afectadas con 3,93 millones de USDT. Siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este es un paso extremadamente inusual: nadie en su sano juicio envía sumas de siete cifras a direcciones comprometidas, a menos que el equipo esté seguro de que no hubo filtración de claves privadas.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una filtración de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los analistas.
El daño final fue de $8 073 992, algo superior a las estimaciones iniciales de $7,9 millones. El vector exacto del ataque aún no se ha determinado, y no ha habido comentarios oficiales de Coinsbuy.
Mi análisis: La situación parece ambigua. O estamos ante un error interno y un intento de ocultar rastros, o ante un ataque interno donde el equipo intenta recuperar el control. En cualquier caso, recargar direcciones hackeadas es una bandera roja que requiere una investigación inmediata. En el contexto de los recientes robos a propietarios de Coldcard (más de $89 millones), este incidente subraya que incluso las plataformas con buena reputación no están exentas de ataques complejos de múltiples pasos.