Ataque a Coinsbuy: $8 millones robados en una operación coordinada en las redes TRON y Ethereum
La plataforma de criptomonedas Coinsbuy fue víctima de un ataque hacker a gran escala, en el que se robaron $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes blockchain más grandes: TRON y Ethereum. Mi análisis de los datos on-chain muestra que el atacante actuó siguiendo un plan claramente calculado, lo que indica un alto nivel de preparación.
Cronología del ataque: de la transacción de prueba a los millones
El ataque comenzó con una pequeña transacción de prueba de 5 USDT en la red TRON, una técnica típica para verificar el control sobre la billetera. Apenas una hora después, el atacante retiró 6,04 millones de USDT desde ocho direcciones, siendo la transferencia individual más grande de aproximadamente 3,5 millones de USDT. En paralelo, se vaciaron tres billeteras en Ethereum que contenían 1,89 millones de USDT y 77 ETH. Es notable que los fondos se convirtieron rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora.
La conexión entre las dos partes del ataque se pudo establecer gracias al uso del servicio entre cadenas Bridgers. Su contrato de pagos en Ethereum enviaba los fondos a la dirección de swaps, y los montos y tiempos de las transacciones coincidían completamente con las acciones del hacker. Esto no deja dudas de que estamos ante una operación coordinada única.
Lavado de fondos y congelación de activos
Aproximadamente el 79% de los fondos robados se pasó a través del intercambiador FixedFloat utilizando unas 50 direcciones desechables, un esquema clásico para confundir el rastro. Sin embargo, parte de los activos se logró congelar: el servicio ChangeNOW bloqueó 150 ETH (~$288 000), y otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones. Esto sugiere que el hacker no logró retirar todos los fondos o planea usarlos más adelante.
Comportamiento extraño del equipo de Coinsbuy
El aspecto más intrigante es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo de Coinsbuy recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Este comportamiento es extremadamente ilógico para una víctima de hackeo. Los expertos señalan con razón: «El dinero sigue ahí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera comprometida con sumas de siete cifras dos veces en una misma noche».
Inicialmente, el daño se estimó en $7,9 millones, pero mi cálculo de las transacciones individuales permite hablar de una suma más precisa: $8 073 992. El incidente con Coinsbuy ocurre en medio de una serie de grandes robos: el 31 de julio, a los propietarios de billeteras de hardware Coldcard se les robaron 594,48 BTC (~$38,2 millones), y esta suma posteriormente aumentó a 1367 BTC (~$89 millones). Esto indica una intensificación de los grupos hackers organizados, que atacan tanto a plataformas centralizadas como a tenedores individuales de criptoactivos.
Mi comentario: Este incidente subraya la importancia crítica de la seguridad de las claves privadas, pero las extrañas acciones del equipo de Coinsbuy generan más preguntas que respuestas. En mi práctica, son raros los casos en que una víctima de hackeo recarga voluntariamente direcciones comprometidas; esto podría indicar la naturaleza interna del ataque o un intento de ocultar rastros de un error propio. Los inversores deben tener mayor precaución al trabajar con plataformas que no ofrecen explicaciones transparentes después de incidentes similares.