Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma cripto Coinsbuy enfrentó un ataque coordinado a gran escala, perdiendo $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes más grandes: TRON y Ethereum. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, permite reconstruir el panorama completo de lo sucedido.
Cronología del hackeo: de la transacción de prueba a los millones
El atacante actuó metódicamente. El primer paso fue una transacción de prueba de 5 USDT en la red TRON, una clara verificación del funcionamiento del canal. Tras confirmar el éxito, el hacker retiró 6,04 millones de USDT de ocho billeteras en una hora. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT.
En paralelo, el atacante vació tres direcciones en la red Ethereum, robando 1,89 millones de USDT y 77 ETH. Los fondos fueron convertidos rápidamente a través del protocolo descentralizado 1inch en 981,1 ETH hacia una billetera creada en la misma hora. Esto indica un alto nivel de preparación y automatización.
Evidencia clave: el vínculo entre cadenas
El aspecto más interesante fue la unión de ambas partes del ataque. Gracias al uso del servicio entre cadenas Bridgers, pude establecer una conexión directa entre las operaciones en TRON y Ethereum. El contrato de pagos de Bridgers enviaba fondos a la billetera para intercambios, y los montos y tiempos de las transacciones coincidían completamente con las acciones del atacante. Esto no deja dudas: estamos ante una operación coordinada única.
Movimiento de los fondos robados
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, donde el hacker utilizó alrededor de 50 direcciones desechables para confundir el rastro. Sin embargo, parte de los fondos logró ser congelada: tras la solicitud de Specter Investigations, el servicio ChangeNOW bloqueó 150 ETH (~$288,000). Otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones; probablemente, el atacante está esperando o preparando nuevos esquemas de lavado.
Comportamiento extraño del equipo de Coinsbuy
El vector exacto del ataque aún no se ha determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. Sin embargo, mi atención se centró en el comportamiento inusual de la plataforma: en las 24 horas posteriores al hackeo, el equipo recargó las billeteras afectadas con 3,93 millones de USDT. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%.
«El dinero sigue ahí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», destacan los expertos.
Inicialmente, el daño se estimó en $7,9 millones, pero mi cálculo detallado de las transacciones individuales reveló una suma exacta de $8,073,992. Esta discrepancia subraya la importancia de un análisis exhaustivo de los datos on-chain al investigar incidentes similares.
Cabe señalar que este hackeo ocurre en medio de una serie de grandes robos en la industria. Recordemos que el 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard fueron víctimas de un ataque, robándoles 594,48 BTC (~$38,2 millones). Posteriormente, el monto del daño aumentó a 1367 BTC (~$89 millones).
Mi comentario: Este incidente demuestra una vez más la vulnerabilidad de las plataformas centralizadas, incluso aquellas consideradas relativamente pequeñas. El hecho de que el equipo recargue billeteras hackeadas es extremadamente inusual y podría indicar un ataque de tipo interno o la confianza en que las claves no están comprometidas. La industria necesita estándares más estrictos de seguridad y transparencia; de lo contrario, incidentes como este se convertirán en la nueva norma.