Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
La plataforma cripto Coinsbuy fue víctima de un ataque coordinado a gran escala, en el que el 9 de agosto se robaron $8,07 millones. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, reveló un complejo esquema de dos redes que indica un alto nivel de preparación por parte de los atacantes.
El ataque comenzó con una transacción de prueba de 5 USDT en la red TRON: una táctica clásica para verificar la funcionalidad de los canales de retiro. Luego, en aproximadamente una hora, se retiraron 6,04 millones de USDT desde ocho billeteras, siendo la transferencia individual más grande de unos 3,5 millones de USDT. En paralelo, el hacker vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH, que a través del protocolo descentralizado 1inch se convirtieron instantáneamente en 981,1 ETH en una billetera creada en la misma hora.
Pista clave: el puente entre cadenas Bridgers
El vínculo entre los dos ataques fue el servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum envió a una dirección para swaps cantidades que coincidían al segundo y al tamaño con las transacciones del atacante. Esto no deja dudas: ambas partes de la operación son un único plan.
Aproximadamente el 79% de los fondos robados pasó por el intercambiador FixedFloat, para lo cual el atacante utilizó unas 50 direcciones desechables, una práctica estándar para confundir el rastro. Sin embargo, no todo es fácil para el hacker: tras la solicitud de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000), y otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones.
Comportamiento extraño del equipo de Coinsbuy
El momento más intrigante es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy recargó las mismas billeteras comprometidas con 3,93 millones de USDT. Siete transacciones coincidieron con los montos robados con un margen de error de hasta el 0,05%. Este es un paso sin precedentes.
«El dinero sigue ahí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Inicialmente se mencionó una cifra de daños de $7,9 millones, pero mi cálculo detallado de las transacciones individuales muestra pérdidas exactas de $8 073 992. Esto recuerda a la reciente serie de ataques contra propietarios de Coldcard, donde el monto del daño aumentó de $38 millones a $89 millones, lo que subraya la naturaleza sistémica de las amenazas en la industria.
Mi veredicto: La recarga de las direcciones hackeadas es un intento desesperado de ocultar un error interno o un indicio de que el ataque se realizó a través de una vulnerabilidad en la API, no mediante la compromisión de claves. En cualquier caso, el incidente demuestra la importancia crítica de la protección en múltiples capas y la auditoría de seguridad inmediata para todas las plataformas que trabajan con activos digitales.