Ataque a Coinsbuy: $8 millones robados en una operación coordinada entre cadenas
La plataforma de criptomonedas Coinsbuy sufrió un ataque coordinado a gran escala el 9 de agosto, como resultado del cual los atacantes retiraron activos por valor de más de $8 millones. Mi análisis de los datos on-chain permite reconstruir el panorama completo de este incidente, que afectó a las dos redes más grandes: TRON y Ethereum.
Cronología del ataque y transacciones clave
El inicio de la operación fue característico de hackers profesionales: una transacción de prueba de 5 USDT en la red TRON. Apenas una hora después, siguieron una serie de retiros desde ocho billeteras por un total de 6,04 millones de USDT, siendo la transferencia individual más grande de aproximadamente 3,5 millones de USDT. En paralelo, el atacante vació tres direcciones en la red Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Es notable que los fondos fueron convertidos instantáneamente en 981,1 ETH a través del protocolo descentralizado 1inch: la billetera para swaps fue creada en la misma hora, lo que indica una preparación meticulosa.
El elemento clave que conecta ambas partes del ataque fue el servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidieron con alta precisión en tiempo y volumen con las transacciones del atacante. Esta es una prueba convincente de que estamos ante una operación coordinada única, y no incidentes aislados.
Movimiento de los fondos robados
El análisis muestra que aproximadamente el 79% de los activos robados pasó a través del intercambiador FixedFloat, para lo cual el atacante utilizó alrededor de 50 direcciones desechables. Gracias a la intervención oportuna de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288,000). Otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones; probablemente, el hacker está esperando para evitar el rastreo.
El aspecto más intrigante es el comportamiento de la propia plataforma. En el transcurso de un día después del ataque, el equipo de Coinsbuy repuso las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con las cantidades robadas con una precisión del 0,05%. Este es un paso extremadamente inusual.
«El dinero sigue allí hasta ahora. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie repone una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los investigadores.
El vector exacto del ataque sigue sin estar claro, y no hay comentarios oficiales de Coinsbuy. La estimación inicial del daño de $7,9 millones fue revisada a $8,073,992 basándose en el recuento detallado de transacciones individuales.
Este incidente es otro recordatorio de la creciente complejidad de los ataques en la industria de las criptomonedas. El uso de servicios cross-chain y swaps instantáneos dificulta el rastreo de fondos, y la reposición de billeteras hackeadas por parte del equipo plantea preguntas sobre la naturaleza real del incidente. En mi práctica, acciones similares a menudo indican una amenaza interna o un montaje, pero es prematuro sacar conclusiones definitivas. En medio de los recientes robos a propietarios de Coldcard (1367 BTC por $89 millones), es evidente que la industria está experimentando una ola de ataques profesionales que requieren el fortalecimiento de las medidas de seguridad en todos los niveles.