Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
La plataforma cripto Coinsbuy se enfrentó a un ataque coordinado a gran escala, como resultado del cual perdió $8,07 millones. El incidente ocurrió el 9 de agosto y afectó a dos de las redes más grandes: TRON y Ethereum. Mi análisis de los datos on-chain permite reconstruir el panorama completo de lo sucedido.
Cronología del hackeo: de la transacción de prueba al retiro masivo
El atacante actuó de manera metódica. Todo comenzó con una transferencia de prueba de 5 USDT en la red TRON, un truco clásico para verificar el funcionamiento de los canales. Luego, en aproximadamente una hora, se retiraron 6,04 millones de USDT desde ocho billeteras. La transferencia individual más grande fue de unos 3,5 millones de USDT, lo que indica una logística bien pensada para no despertar sospechas en los sistemas de monitoreo.
Paralelamente, el hacker vació tres direcciones en Ethereum, llevándose 1,89 millones de USDT y 77 ETH. Es notable que los fondos se intercambiaron rápidamente por 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora. Esto habla de un alto nivel de preparación y automatización del proceso.
Rastro entre cadenas: cómo se vincularon ambas partes del ataque
La prueba clave de una operación unificada fue el uso del servicio entre cadenas Bridgers. El contrato de pagos en Ethereum envió a la billetera de swaps cantidades que coincidían con precisión en tamaño y tiempo con las transacciones del atacante. Tal correlación excluye la casualidad: estamos ante un esquema clásico de lavado a través de puentes entre redes.
Aproximadamente el 79% de los fondos robados pasó por el intercambiador FixedFloat, utilizando alrededor de 50 direcciones desechables. Esta es una práctica típica para confundir los rastros. Gracias a la intervención rápida de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen sin movimiento en cinco direcciones; posiblemente, el atacante esté esperando el momento para moverlos.
Comportamiento extraño del equipo de Coinsbuy
El punto más intrigante es la reacción de la plataforma. En las 24 horas posteriores al ataque, el equipo recargó las billeteras afectadas con 3,93 millones de USDT, y siete transacciones coincidieron con los montos robados con una precisión del 0,05%. Esto plantea preguntas. Como destacan los investigadores, nadie en su sano juicio recargaría una billetera hackeada con sumas de siete cifras dos veces en una misma noche, a menos que el equipo esté seguro de que las claves privadas no están comprometidas.
Inicialmente se informó de daños por $7,9 millones, pero mi cálculo detallado de las transacciones individuales muestra la cifra exacta: $8 073 992. La diferencia se explica por la inclusión de todas las comisiones asociadas y transferencias intermedias.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», señalaron los expertos.
Recordemos que esto es solo parte de una tendencia alarmante. El 31 de julio, alrededor de 500 propietarios de billeteras de hardware Coldcard fueron víctimas de un ataque, robándoles 594,48 BTC (~$38,2 millones). Posteriormente, el monto del daño aumentó a 1082,65 BTC (~$70,2 millones), y luego a 1367 BTC (~$89 millones). Esto demuestra que incluso las soluciones de hardware no son una panacea.
Mi conclusión: El incidente con Coinsbuy subraya la importancia crítica de la protección multicapa de las billeteras calientes. El hecho de que el equipo continúe recargando direcciones comprometidas indica, o bien su confianza en que no hubo fuga de claves, o bien una grave subestimación de los riesgos. En cualquier caso, el mercado necesita protocolos de seguridad más transparentes y un seguro obligatorio para los fondos de los usuarios.