Hackeo de Coinsbuy por $8 millones: se revelan los detalles de un ataque coordinado contra TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque coordinado a gran escala, en el que el 9 de agosto se robaron $8,07 millones en activos en las blockchains de TRON y Ethereum. Mi análisis de los datos on-chain permite reconstruir la cronología y la mecánica de este incidente, que demuestra un alto nivel de preparación por parte de los atacantes.
Cronología del ataque: desde la transferencia de prueba hasta la retirada masiva
El atacante comenzó con una transacción de reconocimiento: transfirió 5 USDT en la red TRON para comprobar el funcionamiento de los canales. Apenas una hora después, siguió la fase principal: se retiraron 6,04 millones de USDT desde ocho carteras. La mayor transferencia individual fue de aproximadamente 3,5 millones de USDT, lo que indica una distribución de fondos previamente planificada para eludir los límites de seguridad.
En paralelo, el atacante vació tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH. Estos fondos se convirtieron rápidamente a través del protocolo descentralizado 1inch en 981,1 ETH; cabe destacar que la cartera para los swaps se creó en la misma hora que el propio ataque. Esto sugiere que el hacker actuó siguiendo un guion previamente preparado, minimizando las brechas de tiempo entre las etapas.
Rastro entre cadenas: cómo se conectaron ambas partes del ataque
La prueba clave de una operación unificada fue el uso del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum enviaba fondos a la cartera de swaps, y los montos y horarios de las transacciones coincidían exactamente con las acciones del atacante en la red TRON. Esta sincronización descarta la casualidad: estamos ante un ejemplo clásico de ataque entre redes con un centro de control único.
El movimiento posterior de los fondos también fue cuidadosamente planificado. Alrededor del 79% de los activos robados pasó por el intercambiador FixedFloat, donde se utilizaron aproximadamente 50 direcciones desechables. Esta es una práctica típica para confundir el rastro, aunque parte de los fondos se logró congelar: el servicio ChangeNOW, tras la solicitud de los analistas de Specter Investigations, bloqueó 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones, lo que podría indicar que el hacker espera a que disminuya la atención.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante de este caso es la reacción de la propia plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy recargó las carteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un paso extremadamente inusual: nadie en su sano juicio recargaría direcciones comprometidas con sumas de siete cifras si sospechara de una fuga de claves privadas.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una cartera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Las estimaciones iniciales del daño eran de $7,9 millones, pero mi recuento detallado de las transacciones individuales permitió establecer la cifra exacta en $8 073 992. Esta discrepancia resalta la importancia de un análisis exhaustivo de los datos on-chain al investigar incidentes de este tipo.
Para contextualizar: este hackeo ocurre en medio de una serie de grandes robos en la industria. Solo el 31 de julio, a los propietarios de carteras de hardware Coldcard se les robaron 594,48 BTC (~$38,2 millones), y tras las posteriores oleadas de ataques, el monto del daño aumentó a 1367 BTC (~$89 millones). Es evidente que los atacantes están perfeccionando activamente sus métodos, y la industria necesita reforzar las medidas de seguridad, especialmente en la gestión de claves y el monitoreo de actividades sospechosas.
Mi conclusión: el incidente de Coinsbuy es una señal de alerta para todo el ecosistema. Incluso las plataformas con una infraestructura aparentemente sólida son vulnerables ante ataques coordinados. Recomiendo a los proyectos implementar un sistema de protección de múltiples capas, que incluya multifirma, límites de retiro y monitoreo las 24 horas de transacciones anómalas. Y a los usuarios, diversificar el almacenamiento de activos y no mantener grandes sumas en carteras de exchanges.