Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum — análisis detallado
El 9 de agosto, la plataforma cripto Coinsbuy sufrió un ataque coordinado, en el que los atacantes retiraron $8,07 millones en las redes TRON y Ethereum. Mi análisis de los datos on-chain, realizado junto con investigadores de blockchain, permite reconstruir la cronología del incidente e identificar anomalías clave en el comportamiento del equipo del proyecto.
Cronología del ataque y detalles técnicos
El hackeo comenzó con una transacción de prueba de 5 USDT en la red TRON, una táctica clásica para verificar el control sobre la billetera. Una hora después, el atacante retiró 6,04 millones de USDT desde ocho direcciones, siendo la transferencia única más grande de aproximadamente 3,5 millones de USDT. En paralelo, el hacker vació tres billeteras en Ethereum, robando 1,89 millones de USDT y 77 ETH. Los fondos se convirtieron instantáneamente en 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora que el ataque.
La prueba clave de una operación unificada fue el uso del servicio cross-chain Bridgers. Su contrato de pagos en Ethereum envió a la dirección de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto indica un alto nivel de preparación técnica: el hacker claramente diseñó la ruta de lavado de fondos a través de múltiples redes.
Movimiento de los fondos robados
Aproximadamente el 79% de los activos robados pasaron por el intercambiador FixedFloat, donde se utilizaron alrededor de 50 direcciones desechables, una práctica típica para confundir el rastro. Tras la intervención de los analistas de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000), y otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones. Sin embargo, el detalle más intrigante es el comportamiento de la propia plataforma.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Anomalía: la plataforma recargó las billeteras hackeadas
En el transcurso de las 24 horas posteriores al ataque, el equipo de Coinsbuy transfirió 3,93 millones de USDT a las mismas 10 direcciones que fueron comprometidas. Siete transacciones coincidieron con las sumas robadas con una precisión del 0,05%. Este es un paso extremadamente ilógico, a menos que el equipo esté seguro de que no hubo fuga de claves. En los informes iniciales se mencionaba una cifra de daños de $7,9 millones, pero mi cálculo de las transacciones individuales arroja una cifra exacta de $8 073 992.
El vector exacto del ataque aún no se ha determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. Sin embargo, cabe señalar que este incidente ocurre en medio de una serie de grandes robos: el 31 de julio, a los propietarios de Coldcard les robaron 594,48 BTC (~$38,2 millones), y tras las siguientes oleadas de ataques, la suma de los daños aumentó a 1367 BTC (~$89 millones).
Mi conclusión: La recarga de direcciones hackeadas es o un grave error en la gestión de riesgos, o una señal de un insider interno que controla la situación. En cualquier caso, el incidente demuestra que incluso las plataformas con experiencia no están suficientemente protegidas contra ataques coordinados, y el uso de puentes cross-chain se convierte en la herramienta favorita de los hackers para ocultar rastros.