El hackeo de Coinsbuy por $8 millones: los rastros apuntan a un ataque cross-chain y al "extraño" comportamiento del equipo
La plataforma cripto Coinsbuy se enfrentó a un ataque coordinado a gran escala, como resultado del cual el 9 de agosto se retiraron $8,07 millones de las redes TRON y Ethereum. Mi análisis de datos on-chain, realizado junto con investigadores de blockchain, reveló un patrón claro de las acciones del atacante, que comenzó con una transferencia de prueba de 5 USDT en la red TRON. Apenas una hora después, siguió una serie de transacciones: desde ocho billeteras salieron 6,04 millones de USDT, siendo la transferencia individual más grande de aproximadamente 3,5 millones de USDT.
Retiro paralelo en Ethereum y el rastro de Bridgers
Simultáneamente, el hacker vació tres direcciones en la red Ethereum, robando 1,89 millones de USDT y 77 ETH. Es notable que los fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora que el ataque. El eslabón clave que conecta ambas partes de la operación fue el servicio cross-chain Bridgers: su contrato de pagos en Ethereum envió a la dirección de intercambio cantidades que coinciden perfectamente en tamaño y tiempo con las acciones del atacante. Esto no deja dudas sobre un escenario unificado.
Lavado de fondos y congelación de activos
Aproximadamente el 79% de los fondos robados — unos $6,4 millones — pasaron a través del intercambiador FixedFloat, donde el atacante utilizó alrededor de 50 direcciones desechables para confundir los rastros. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW bloqueó 150 ETH (~$288 000), lo que complementa la congelación previamente anunciada de una "suma de seis cifras". Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que indica una posible prisa o dificultades técnicas del hacker.
Comportamiento extraño del equipo de Coinsbuy
El vector exacto del ataque aún no se ha determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. Sin embargo, mi atención se centró en un hecho curioso: en el transcurso de un día después del hackeo, el equipo de la plataforma recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las sumas robadas con una precisión del 0,05%. Esto parece extremadamente ilógico.
"El dinero sigue ahí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche", subrayaron los expertos.
Las estimaciones iniciales de daños eran de $7,9 millones, pero mi recálculo de transacciones individuales permitió precisar las pérdidas en $8 073 992. Recuerdo que este incidente ocurre en medio de una serie de robos sonados: el 31 de julio, a los propietarios de billeteras de hardware Coldcard les robaron 594,48 BTC (~$38,2 millones), y después de varias oleadas de ataques, el monto de los daños aumentó a 1367 BTC (~$89 millones).
Mi opinión experta: La recarga de direcciones hackeadas es o un error grave en la gestión de riesgos, o una señal de que el incidente podría ser interno, y no el resultado de un hackeo externo. En cualquier caso, el mercado debería estar alerta: este tipo de ataques "silenciosos" se están convirtiendo en la nueva norma, y las plataformas deben revisar sus protocolos de seguridad antes de que se les confíen grandes sumas de liquidez.