Ataque a Coinsbuy: cómo los hackers sacaron $8 millones de las redes TRON y Ethereum
El 9 de agosto, la plataforma cripto Coinsbuy fue víctima de un ataque coordinado que afectó a las blockchains de TRON y Ethereum. Mi análisis de los datos on-chain muestra que el daño total ascendió a $8,07 millones, y el atacante actuó con una meticulosidad sorprendente, comenzando con una transacción de prueba de 5 USDT en la red TRON.
Cronología y alcance del hackeo
En el plazo de una hora tras la transferencia de prueba, el hacker retiró 6,04 millones de USDT de ocho carteras en la red TRON, siendo la transacción individual más grande de aproximadamente 3,5 millones de USDT. En paralelo, se vaciaron tres direcciones en Ethereum, de donde se filtraron 1,89 millones de USDT y 77 ETH. Es notable que todos los fondos se convirtieron en 981,1 ETH a través del protocolo descentralizado 1inch, utilizando una cartera creada en la misma hora, lo que indica un alto grado de preparación.
La prueba clave de una operación unificada fue el uso del servicio de cadena cruzada Bridgers. Su contrato de pagos en Ethereum dirigía los fondos a una dirección para intercambios, y los montos y marcas de tiempo coincidían completamente con las transacciones del atacante. Esto vincula ambas partes del ataque en una sola cadena.
Rastros y congelación de fondos
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, donde el atacante utilizó alrededor de 50 direcciones desechables para confundir los rastros. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar prisa o dificultades técnicas por parte del hacker.
El aspecto más intrigante es el comportamiento de la propia plataforma Coinsbuy. En las 24 horas posteriores al ataque, el equipo repuso las carteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Este es un paso sin precedentes que pone en duda la versión de la compromisión de claves privadas.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie repone una cartera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los investigadores.
Las estimaciones iniciales del daño en $7,9 millones resultaron ser bajas: mi cálculo de las transacciones individuales reveló pérdidas de $8 073 992. En el contexto de la reciente serie de hackeos, incluido el robo de 1367 BTC (~$89 millones) a propietarios de Coldcard, este incidente subraya la vulnerabilidad sistémica de las plataformas centralizadas.
Mi conclusión experta: La reposición de direcciones hackeadas después del incidente es un movimiento extremadamente inusual que podría indicar un error interno o una puesta en escena. Sin embargo, independientemente del vector, este caso demuestra la importancia crítica de la protección en múltiples capas y el almacenamiento en frío de activos para cualquier servicio cripto.