Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
Un ataque coordinado a gran escala contra la plataforma cripto Coinsbuy, ocurrido el 9 de agosto, resultó en la pérdida de $8,07 millones. Mi análisis de datos on-chain, realizado junto con colegas de BlockWatchdog, reveló un esquema complejo que involucró a dos de las redes más grandes: TRON y Ethereum.
Cronología del hackeo: de la transacción de prueba a la retirada masiva
El atacante actuó metódicamente. Comenzando con una pequeña transacción de prueba de 5 USDT en la red TRON, en el plazo de una hora retiró 6,04 millones de USDT desde ocho billeteras diferentes. La operación más grande ascendió a aproximadamente 3,5 millones de USDT. Paralelamente, el hacker vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH.
Cabe destacar que todos los fondos robados en Ethereum fueron convertidos rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch. La billetera para los swaps fue creada en la misma hora, lo que indica un alto grado de preparación y automatización del ataque.
El eslabón conector: el puente entre cadenas Bridgers
El elemento clave que permitió vincular ambas partes del ataque en una sola operación fue el uso del servicio entre cadenas Bridgers. El análisis del contrato de pagos en Ethereum mostró que los montos enviados a la billetera de swaps coincidían exactamente en tamaño y tiempo con las transacciones del atacante en la red TRON. Esto descarta la casualidad y confirma el carácter coordinado de las acciones.
Movimiento de fondos y congelación de activos
Aproximadamente el 79% de los fondos robados —unos $6,4 millones— pasaron a través del intercambiador FixedFloat, donde se utilizaron alrededor de 50 direcciones desechables para confundir el rastro. Gracias a la rápida intervención de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar pánico o dificultades técnicas por parte de los atacantes.
Comportamiento extraño del equipo de Coinsbuy
El detalle más intrigante es la reacción del equipo de Coinsbuy. En el plazo de un día después del ataque, se depositaron nuevos fondos por un total de 3,93 millones de USDT en las billeteras afectadas. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un paso extremadamente inusual: nadie en su sano juicio recarga una billetera comprometida con sumas de siete cifras si sospecha una fuga de claves privadas.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en la fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente se informó de pérdidas de $7,9 millones, pero mi recuento detallado de las transacciones individuales permitió establecer el monto exacto del daño: $8 073 992.
Contexto y conclusiones
Este ataque ocurre en medio de una serie de incidentes de alto perfil en la industria. Recordemos que el 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard fueron víctimas de un hackeo, perdiendo 594,48 BTC (~$38,2 millones). Posteriormente, esta cifra aumentó a 1367 BTC (~$89 millones), lo que convierte al año actual en uno de los más difíciles para la seguridad en la industria cripto.
Mi comentario experto: El extraño comportamiento del equipo de Coinsbuy, recargando las direcciones comprometidas, plantea más preguntas de las que responde. Quizás estamos ante un ataque interno o un intento de ocultar rastros de incompetencia. Sin embargo, el hecho mismo de usar un puente entre cadenas para unir ataques en diferentes redes demuestra la creciente complejidad de los esquemas cibercriminales con los que toda la industria tendrá que lidiar.