Ataque a Coinsbuy: $8 millones robados en una operación coordinada en las redes TRON y Ethereum
La plataforma de criptomonedas Coinsbuy se enfrentó a un hackeo a gran escala, como resultado del cual perdió $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos blockchains a la vez: TRON y Ethereum. Mi análisis de los datos on-chain muestra que el ataque fue cuidadosamente planificado y ejecutado en un período de tiempo muy corto, lo que indica un alto nivel de preparación por parte de los atacantes.
Cronología del hackeo: de la transacción de prueba a la retirada masiva
El atacante comenzó con una pequeña transacción de prueba de 5 USDT en la red TRON, probablemente para asegurarse de que la ruta elegida funcionara. Ya dentro de la siguiente hora, se retiraron 6,04 millones de USDT desde ocho carteras. La mayor transferencia individual fue de aproximadamente 3,5 millones de USDT, un signo clásico de un proceso automatizado, no de acciones manuales.
En paralelo, el hacker vació tres direcciones en la red Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Los fondos fueron rápidamente intercambiados por 981,1 ETH a través del protocolo descentralizado 1inch, y la cartera para los swaps fue creada en la misma hora. Esta sincronización de acciones descarta la posibilidad de que fuera algo casual.
Conexión entre cadenas y lavado de fondos
El elemento clave de la investigación fue el uso del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió los fondos a la cartera de swaps, y los montos y tiempos coincidieron con las transacciones del atacante al minuto. Esto permitió unir ambas partes del ataque en una sola operación.
El lavado de los activos robados también fue bien pensado: alrededor del 79% de los fondos pasó a través del intercambiador FixedFloat utilizando aproximadamente 50 direcciones desechables. Tras la intervención de los analistas de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar prisa o dificultades técnicas por parte de los atacantes.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En el transcurso de un día después del ataque, el equipo de Coinsbuy recargó las mismas carteras afectadas con un total de 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un comportamiento extremadamente inusual: nadie en su sano juicio envía fondos a una dirección que ya ha sido comprometida.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en la fuga de claves privadas. La dirección es la clave: nadie recarga una cartera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente, el daño se estimó en $7,9 millones, pero un recuento detallado de las transacciones mostró una suma final de $8 073 992. El vector exacto del ataque aún no se ha determinado, y Coinsbuy no ha dado comentarios oficiales.
Mi comentario: Este incidente plantea serias preguntas sobre los procedimientos internos de seguridad en Coinsbuy. Recargar las direcciones hackeadas después del ataque es o un error grave, o una señal de que la plataforma sabe más de lo que dice. En cualquier caso, este caso es un recordatorio de que incluso las grandes plataformas no están exentas de ataques coordinados complejos, y los usuarios deberían diversificar el almacenamiento de sus activos. En medio de la reciente serie de hackeos a carteras de hardware Coldcard, donde las pérdidas superaron los $89 millones, el mercado claramente está entrando en una fase de mayor actividad de grupos de hackers.