Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma de criptomonedas Coinsbuy se enfrentó a un ataque coordinado a gran escala, en el que perdió $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes más grandes: TRON y Ethereum. Mi análisis de los datos on-chain muestra que el atacante actuó de manera metódica y con un alto grado de preparación.
Cronología del hackeo
El ataque comenzó con una transacción de prueba de 5 USDT en la red TRON, una táctica clásica para verificar el funcionamiento de los canales de retiro. Una hora después, se retiraron 6,04 millones de USDT desde ocho billeteras, siendo la transferencia individual más grande de aproximadamente 3,5 millones de USDT. Paralelamente, el hacker vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH.
Es notable que los fondos se convirtieron rápidamente a través del protocolo descentralizado 1inch en 981,1 ETH: la billetera para los swaps se creó en la misma hora, lo que indica una infraestructura planificada de antemano.
El eslabón conector
El elemento clave que permitió unir ambas partes del ataque fue el servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esta es una prueba convincente de que estamos ante una operación única, y no ante incidentes aislados.
Movimiento de los fondos
Aproximadamente el 79% de los activos robados pasó a través del intercambiador FixedFloat, para lo cual el atacante utilizó alrededor de 50 direcciones desechables, una práctica típica para confundir el rastro. Tras la intervención de los analistas de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288,000). Otros 282 ETH (~$542,000) permanecen sin movimiento en cinco direcciones, lo que da esperanzas de recuperar parte de los fondos.
Comportamiento extraño del equipo
El aspecto más intrigante es el comportamiento de la propia plataforma. En el transcurso de un día después del ataque, el equipo de Coinsbuy recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este es un paso extremadamente inusual: nadie en su sano juicio envía sumas de siete cifras a direcciones comprometidas.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en la filtración de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Inicialmente, el daño se estimó en $7,9 millones, pero mi cálculo de las transacciones individuales permite establecer la cifra exacta en $8,073,992. Este incidente recuerda los riesgos sistémicos: ataques similares a Coldcard llevaron al robo de 1367 BTC (~$89 millones), lo que subraya la creciente amenaza para las plataformas centralizadas.
Mi conclusión: La recarga de direcciones hackeadas por parte del equipo es o un error grave, o una señal de que el ataque tuvo un carácter interno. En cualquier caso, el incidente demuestra la vulnerabilidad de las plataformas que dependen de billeteras calientes sin un aislamiento adecuado de las claves.