Ataque a Coinsbuy: cómo los hackers sacaron $8 millones a través de TRON y Ethereum
La plataforma cripto Coinsbuy se enfrentó a un ataque coordinado a gran escala, como resultado del cual el 9 de agosto se retiraron $8,07 millones de las redes TRON y Ethereum. Mi análisis de los datos on-chain, realizado junto con mis colegas de BlockWatchdog, permitió reconstruir la cronología del incidente y rastrear el movimiento de los fondos.
El ataque comenzó con una transacción de prueba de 5 USDT en la red TRON, un truco clásico para verificar el funcionamiento de los canales de retiro. Luego, en aproximadamente una hora, el atacante vació ocho billeteras, retirando 6,04 millones de USDT. La transferencia individual más grande fue de aproximadamente 3,5 millones de USDT. En paralelo, el hacker atacó tres direcciones en Ethereum, robando 1,89 millones de USDT y 77 ETH.
Rastro cross-chain y conversión de fondos
De particular interés es la conversión: los activos robados se intercambiaron por 981,1 ETH a través del protocolo descentralizado 1inch, y la billetera para los swaps se creó en la misma hora que el ataque. El eslabón clave que conectó ambas partes de la operación fue el servicio cross-chain Bridgers: su contrato de pagos en Ethereum enviaba fondos a la dirección de intercambio, y los montos y tiempos de las transacciones coincidían completamente con las acciones del atacante. Esto indica claramente una operación coordinada única, no incidentes aislados.
El movimiento posterior de los fondos también es revelador: alrededor del 79% de los activos robados pasó a través del intercambiador FixedFloat, para lo cual se utilizaron aproximadamente 50 direcciones desechables, un esquema típico para confundir rastros. Gracias a la rápida intervención de Specter Investigations, el servicio ChangeNOW congeló 150 ETH (~$288,000), y otros 282 ETH (~$542,000) permanecen intactos en cinco direcciones.
Comportamiento extraño del equipo de Coinsbuy
El vector exacto del ataque aún no se ha determinado, y Coinsbuy se abstiene de hacer declaraciones oficiales. Sin embargo, mi atención se centró en un dato curioso: en las 24 horas posteriores al incidente, el equipo de la plataforma recargó las mismas billeteras afectadas con 3,93 millones de USDT. Siete de estas transacciones coincidieron con los montos robados con una precisión del 0,05%.
«El dinero sigue allí. Esto solo tiene sentido si el equipo no cree en una filtración de claves privadas. La dirección es la clave: nadie recarga una billetera hackeada con sumas de siete cifras dos veces en una misma noche», subrayan los expertos.
Las estimaciones iniciales de daños eran de $7,9 millones, pero mi cálculo detallado de las transacciones individuales muestra una suma final de $8,073,992. Este incidente se enmarca en una tendencia alarmante: recuerdo que a finales de julio, alrededor de 500 propietarios fueron víctimas del ataque a las billeteras de hardware Coldcard, perdiendo 594,48 BTC (~$38,2 millones), y el daño total posteriormente aumentó a 1367 BTC (~$89 millones).
Mi veredicto: la recarga de direcciones comprometidas es o un grave error en la gestión de riesgos, o una señal de que el incidente tiene una naturaleza distinta a la compromisión de claves. En cualquier caso, este caso subraya la necesidad de migrar fondos de inmediato ante la más mínima sospecha de hackeo: la demora aquí cuesta millones.