Ataque a Coinsbuy: análisis detallado del robo de $8 millones en las redes TRON y Ethereum
La plataforma de criptomonedas Coinsbuy se enfrentó a un ataque coordinado a gran escala, como resultado del cual el 9 de agosto se robaron $8,07 millones. Mi análisis de datos on-chain, realizado junto con mis colegas de BlockWatchdog, reveló un esquema complejo que afectó a dos blockchains a la vez: TRON y Ethereum.
Cronología y mecanismo del ataque
El atacante actuó metódicamente. Todo comenzó con una transacción de prueba de 5 USDT en la red TRON, un truco clásico para verificar el funcionamiento del canal. A la hora siguiente llegó la ola principal: se retiraron 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT, lo que indica un alto nivel de preparación y acceso a volúmenes significativos de liquidez.
Paralelamente, el hacker vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Es notable que los fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora. Esto indica una infraestructura planificada de antemano.
La pista clave: el puente entre cadenas
El vínculo entre los ataques en las dos redes fue el servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto no deja dudas: ambas partes de la operación son eslabones de una misma cadena.
Un análisis posterior mostró que aproximadamente el 79% de los fondos robados pasaron a través del intercambiador FixedFloat, para lo cual se utilizaron alrededor de 50 direcciones desechables. Parte de los activos se lograron congelar: ChangeNOW, tras la solicitud de Specter Investigations, bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones; probablemente, el atacante está esperando o tiene dificultades con la liquidación.
El extraño comportamiento del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En el plazo de un día después del ataque, se acreditaron 3,93 millones de USDT en las billeteras afectadas. Siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este es un paso extremadamente inusual: nadie en su sano juicio recarga una dirección comprometida con sumas de siete cifras.
«El dinero sigue ahí. Esto solo tiene sentido si el equipo no cree en la filtración de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente se mencionó una cifra de daños de $7,9 millones, pero mi cálculo de las transacciones individuales mostró una cifra más precisa: $8 073 992.
Contexto y conclusiones
Este ataque es solo un episodio en una serie de incidentes sonados. Recordemos que el 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard fueron víctimas, a quienes se les robaron 594,48 BTC (~$38,2 millones). Las oleadas posteriores de ataques aumentaron los daños a 1367 BTC (~$89 millones).
Mi opinión experta: La recarga de las billeteras hackeadas por parte del equipo de Coinsbuy es o un error grave o una señal de que el incidente no es solo un robo de claves, sino una operación interna. En cualquier caso, este caso subraya la importancia crítica de la higiene de las claves privadas y la necesidad de utilizar soluciones multifirma para almacenar grandes sumas. El mercado necesita estándares de seguridad más estrictos; de lo contrario, seguiremos viendo pérdidas similares.