Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque hacker coordinado que afectó a las redes TRON y Ethereum. El daño total ascendió a $8,07 millones, lo que se confirma mediante un análisis detallado de los datos de blockchain realizado por mi equipo de investigadores. El incidente ocurrió el 9 de agosto, y ya es posible reconstruir la cronología de las acciones del atacante.
Cronología del hackeo: de la transacción de prueba a la retirada masiva
El atacante comenzó con una transferencia de prueba de 5 USDT en la red TRON para verificar el funcionamiento de los canales. Luego, en aproximadamente una hora, se retiraron 6,04 millones de USDT desde ocho carteras. La transacción individual más grande fue de unos 3,5 millones de USDT. Paralelamente, el hacker vació tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH. Estos fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, y la cartera para los intercambios se creó en la misma hora.
El vínculo clave entre las dos partes del ataque fue el servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum enviaba fondos a la dirección de intercambios, y los montos y tiempos de las transacciones coincidían completamente con las acciones del atacante. Esto permite afirmar con un alto grado de confianza que se trata de una operación única, y no de incidentes aislados.
Lavado de fondos y reacción de la plataforma
Aproximadamente el 79% de los activos robados se canalizó a través del intercambiador FixedFloat, que utilizó alrededor de 50 direcciones desechables. Tras la intervención de los analistas de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones, lo que indica posibles dificultades para liquidarlos.
Es notable que el vector exacto del ataque aún no se haya determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. Sin embargo, mi análisis muestra un detalle extraño: en el transcurso de un día, el equipo de la plataforma recargó las carteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con los montos robados con una precisión del 0,05%.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una filtración de claves privadas. La dirección es la clave: nadie recarga una cartera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Las estimaciones iniciales del daño eran de $7,9 millones, pero tras un recuento minucioso de las transacciones individuales, las pérdidas se ajustaron a $8 073 992. Este incidente es un recordatorio más de que incluso las plataformas grandes son vulnerables. A modo de comparación, el 31 de julio, alrededor de 500 propietarios de carteras de hardware Coldcard fueron víctimas de un ataque en el que se robaron 594,48 BTC (~$38,2 millones). Posteriormente, esa cifra aumentó a 1082,65 BTC (~$70,2 millones), y luego alcanzó los 1367 BTC (~$89 millones).
Mi comentario: Recargar direcciones hackeadas es un paso extremadamente inusual que podría indicar un error interno o un intento de ocultar rastros. Sin embargo, si el equipo realmente no sospecha una filtración de claves, esto pone en duda su competencia en cuestiones de seguridad. Los inversores deberían estar alerta: incidentes como este demuestran que incluso las plataformas «confiables» pueden ser víctimas de hackers, y las consecuencias para los usuarios pueden ser irreversibles.