Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
El 9 de agosto, la plataforma cripto Coinsbuy fue víctima de un ataque coordinado que afectó a las redes TRON y Ethereum. Según mis cálculos basados en datos on-chain, el daño total ascendió a $8,07 millones, superando significativamente las estimaciones iniciales de $7,9 millones.
Cronología del hackeo: de la transacción de prueba a la retirada masiva
El atacante actuó metódicamente. Comenzando con una transferencia de prueba de 5 USDT en la red TRON, en el plazo de una hora retiró 6,04 millones de USDT desde ocho carteras. La mayor transferencia individual alcanzó ~3,5 millones de USDT. Paralelamente, se vaciaron tres direcciones en Ethereum, de donde fluyeron 1,89 millones de USDT y 77 ETH. Es notable que todos los fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, y la cartera para los intercambios se creó en la misma hora que el ataque.
La prueba clave de una operación unificada fue el uso del servicio de cadena cruzada Bridgers. Su contrato de pagos en Ethereum envió a la cartera de intercambios cantidades que coincidían con precisión en tamaño y tiempo con las transacciones del atacante. Esto indica un alto nivel de preparación técnica y, probablemente, un estudio previo de la infraestructura de la plataforma.
Movimiento de fondos y reacción de los servicios
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, donde se utilizaron alrededor de 50 direcciones desechables, un esquema clásico para confundir el rastro. Sin embargo, parte de los fondos se logró congelar: el servicio ChangeNOW, tras la solicitud de los analistas de Specter Investigations, bloqueó 150 ETH (~$288 000 en el momento de la publicación). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que da esperanza de recuperar parte de los activos.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En el plazo de un día tras el ataque, el equipo recargó las carteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Como señalan acertadamente los investigadores, nadie recarga una cartera comprometida con sumas de siete cifras dos veces en una misma noche, a menos que esté seguro de que no hay una fuga de claves privadas. Esto sugiere que el incidente podría estar relacionado con procesos internos o un error de configuración, más que con un compromiso directo de las claves.
El vector del ataque aún no se ha determinado, y no ha habido comentarios oficiales de Coinsbuy. Sin embargo, dado que en las últimas semanas hemos observado una serie de hackeos sonados, desde el robo de 594,48 BTC a propietarios de Coldcard hasta el aumento del daño a 1367 BTC (~$89 millones), es evidente que los atacantes están explotando activamente vulnerabilidades en soluciones centralizadas y de hardware.
Mi conclusión: El incidente con Coinsbuy subraya la importancia crítica de la transparencia en la comunicación tras un hackeo. Recargar direcciones comprometidas sin explicar los motivos genera más preguntas que respuestas y socava la confianza de la comunidad. En las condiciones actuales, recomiendo a los usuarios diversificar el almacenamiento de sus activos y seguir de cerca la actividad on-chain de las plataformas con las que trabajan.