Ataque a Coinsbuy: cómo los hackers retiraron $8 millones a través de TRON y Ethereum
Mis colegas de análisis de blockchain BlockWatchdog reconstruyeron los detalles del ataque coordinado contra la plataforma cripto Coinsbuy, que ocurrió el 9 de agosto. Las pérdidas ascendieron a $8,07 millones, y el atacante actuó simultáneamente en las redes TRON y Ethereum, lo que indica un alto nivel de preparación.
Cronología del hackeo: de la prueba a la retirada masiva
El ataque comenzó con una transacción de prueba de 5 USDT en la red TRON. Una hora después, el hacker retiró 6,04 millones de USDT desde ocho billeteras, siendo la mayor transferencia individual de unos 3,5 millones de USDT. En paralelo, se vaciaron tres direcciones en Ethereum, de donde salieron 1,89 millones de USDT y 77 ETH. Los fondos se convirtieron rápidamente en 981,1 ETH a través del protocolo descentralizado 1inch, utilizando una billetera creada en la misma hora.
La prueba clave de una operación unificada fue el uso del servicio de cadena cruzada Bridgers. Su contrato de pagos en Ethereum envió a la dirección de swaps cantidades que coincidían exactamente en tamaño y tiempo con las transacciones del atacante. Esto descarta la casualidad y confirma que ambas partes del ataque formaban parte de un plan único.
Rastros y congelación de fondos
Aproximadamente el 79% de los activos robados pasó por el intercambiador FixedFloat, donde se utilizaron unas 50 direcciones desechables, una práctica típica para confundir los rastros. Sin embargo, tras la solicitud de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288 000). Otros 282 ETH (~$542 000) permanecen intactos en cinco direcciones, lo que podría indicar prisa o dificultades técnicas por parte de los delincuentes.
El vector exacto del ataque aún no se ha determinado, y Coinsbuy se abstiene de hacer comentarios oficiales. No obstante, noté un dato curioso: en las 24 horas posteriores al incidente, el equipo de la plataforma recargó las billeteras afectadas con 3,93 millones de USDT. Siete transacciones coincidieron con los montos robados con una precisión del 0,05%.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una fuga de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayaron los expertos.
Inicialmente, el daño se estimó en $7,9 millones, pero mi análisis de transacciones individuales mostró la cifra exacta: $8 073 992. Esto demuestra claramente lo importante que es verificar los datos en lugar de confiar en estimaciones preliminares.
Recuerdo que el 31 de julio, unas 500 personas propietarias de billeteras de hardware Coldcard fueron víctimas de un ataque similar, robándoles 594,48 BTC (~$38,2 millones). Posteriormente, el monto del daño aumentó a 1082,65 BTC (~$70,2 millones), y luego a 1367 BTC (~$89 millones). Estos incidentes muestran una tendencia alarmante: los hackers combinan cada vez más herramientas de cadena cruzada y swaps instantáneos para eludir las medidas de seguridad tradicionales.
Mi opinión experta: recargar direcciones hackeadas es un paso extremadamente inusual que podría indicar un error interno, no un hackeo externo. Si se tratara de una compromisión de claves, el equipo nunca arriesgaría nuevos fondos. Lo más probable es que estemos ante un exploit de una vulnerabilidad en la lógica de la plataforma, lo que hace que este caso sea especialmente importante de estudiar para todos los participantes del mercado.