Una investigación del 2 de noviembre de la firma de análisis de blockchain Bitquery rastreó unos $108.8 millones en USDC retirados de cuentas de tres exchanges de criptomonedas, siguiendo los fondos que el investigador on-chain ZachXBT señaló como un presunto robo a una entidad con sede en la UE, según relató una publicación de la cuenta de X Officer's Notes. La investigación de Bitquery descubrió que 11 de las 15 wallets receptoras habían recibido pagos de los mismos exchanges antes del 1 de noviembre, que $62.98 millones en stablecoins se convirtieron en 27,553 ETH, y que solo $3.7 millones de los fondos permanecían en USDC congelable.

Veintiuna horas a través de tres exchanges

El primer retiro salió de OKX a las 12:25 UTC del 1 de noviembre. Kraken siguió 44 minutos después y terminó pagando el 95% del total, con Crypto.com aportando el resto junto con OKX. Aproximadamente dos tercios del dinero, $73.2 millones, salieron en las tres horas hasta las 23:00 UTC, y el último pago llegó a las 09:09 UTC de la mañana siguiente.

Una wallet recibió 43 retiros de Kraken en 91 minutos, cada uno por menos de $50,000. Bitquery interpreta el patrón como el ladrón eludiendo un límite de retiros individuales, una salvaguarda estándar en las cuentas de exchange. Si esa lectura es correcta, el límite cambió la forma del flujo de salida sin reducir su tamaño.

Ninguno de estos montos es una pérdida confirmada por la víctima. Bitquery analizó solo Ethereum y verificó las wallets principales de los tres exchanges, por lo que la actividad en otras cadenas o a través de otras wallets de los mismos exchanges podría aumentar el total. La víctima no ha sido identificada, aunque el historial de las wallets apunta a un negocio de trading o pagos que ha usado Kraken desde mayo, una opinión que Bitquery dice mantener con cautela.

Por qué las wallets antiguas apuntan más allá del inicio de sesión del exchange

Once de las 15 wallets receptoras habían recibido pagos de los mismos exchanges antes del 1 de noviembre, y en conjunto recibieron el 84% del dinero. La más antigua realizó su primer retiro de Kraken el 4 de mayo y 48 más antes del robo. Varias de las wallets se pagaron entre sí durante el verano. Ocho de las 15 son cuentas inteligentes de Trust Wallet configuradas para pagar las tarifas de red en USDC —de modo que la tarifa sale del saldo del token y no de ETH— aunque Bitquery no encontró nada que apunte a una falla en la propia aplicación.

Ese historial es la razón por la que Bitquery considera que las wallets pertenecen a la víctima, y explica por qué el inicio de sesión del exchange por sí solo no explica lo que ocurrió después. El USDC solía moverse a una wallet nueva dentro de los tres minutos, y enviarlo más allá requería las claves de la wallet receptora. Bitquery concluye que el ladrón probablemente tenía tanto las credenciales de acceso como esas claves. Según su lectura, eso apunta a una intrusión en los dispositivos o en la configuración de wallets del propietario, o a alguien dentro del propio equipo de la víctima. La cadena no puede distinguir entre ambas.

La atribución de propiedad sigue siendo una inferencia a partir del comportamiento de las wallets, y ni la víctima ni los exchanges la han confirmado. Si algunas de esas direcciones pertenecían a un empleado, contratista o contraparte, los pagos anteriores demostrarían que la entidad confiaba en una persona, no que sus propias claves se filtraron. En cualquier caso, nada en el rastreo muestra una violación de Kraken, Crypto.com u OKX. Los retiros provienen de las cuentas de un solo cliente.

Dónde se sostiene una lista de permitidos y dónde cede

Una lista de permitidos (allowlist) permite a una cuenta retirar solo hacia direcciones aprobadas de antemano. El rastreo divide este robo en dos casos, y ambos someten esa configuración a pruebas distintas.

Las 11 wallets familiares son el caso que una lista de permitidos no puede abordar. Si ya estaban aprobadas, las transferencias hacia ellas pasarían la verificación, porque la configuración restringe la dirección y no dice nada sobre quién posee sus claves en la actualidad.

Las cuatro wallets nuevas, que recibieron $17.27 millones, son el caso opuesto. Los primeros pagos tanto de OKX como de Kraken fueron a direcciones sin historial previo. Como lo expresa Bitquery, si las cuentas usaban una lista de permitidos, el ladrón pudo añadir direcciones a ella; si no tenían una, el dinero pudo ir a cualquier parte. No es público si alguna de estas cuentas tenía una activada.

Esa segunda vía es para la que están diseñados los controles adicionales de los exchanges:

• OKX: además de su función de lista de permitidos, un bloqueo separado de direcciones nuevas impide retiros hacia un destinatario recién agregado durante 24 horas.
• Crypto.com Exchange: se aplica una retención de 24 horas a las direcciones recién incluidas en la lista blanca, y desactivar la función toma otras 24 horas en surtir efecto.
• Kraken: el Global Settings Lock bloquea nuevas direcciones de retiro y cambios en configuraciones protegidas. Levantarlo implica esperar un plazo elegido por el usuario, a menos que hayan configurado previamente una Master Key, una credencial separada que puede anular la espera.

Ninguno de estos controles afecta a una wallet que ya está en la lista. Un bloqueo que ralentiza las direcciones nuevas todavía permite que quien tenga las claves correctas use una antigua.

Convertidos de USDC congelable en cuestión de horas

Los fondos retirados salieron como USDC, que su emisor, Circle, puede congelar en cualquier dirección, un poder que los emisores han ejercido en robos on-chain anteriores. ETH no tiene emisor, y DAI no tiene función de congelamiento, así que convertir los stablecoins fue la primera tarea del ladrón.

Poco antes de la medianoche UTC del 1 de noviembre, una wallet nueva comenzó a vender stablecoins a través de UniswapX, una subasta en la que firmas de trading compiten por ejecutar órdenes. En unas cuatro horas vendió $62.98 millones en USDC y USDT por 27,553 ETH, aproximadamente $2,286 por moneda. Otra rama de los fondos se convirtió en DAI. Bitquery no vio ningún congelamiento de Circle durante la venta ni en su verificación del lunes, y dice que no sabe si alguien pidió a Circle actuar.

A las 13:47 UTC del 2 de noviembre, $78.27 millones seguían en Ethereum en direcciones que Bitquery vincula al ladrón, la mayor parte fuera del alcance de cualquier emisor. Unos $30.5 millones ya habían salido. La mayor salida, $8.12 millones, fue hacia una dirección de depósito de KuCoin que Bitquery cree que es la cuenta agrupada de Kyrrex, un exchange europeo. LI.FI, un router de puentes e intercambios, se llevó $4.34 millones, parte de ello mediante wallets de orden única que la firma de análisis TRM etiqueta como Wagyu, un servicio que convierte a Monero, una criptomoneda enfocada en privacidad cuyo libro mayor está diseñado para ocultar remitentes, destinatarios y montos. FixedFloat, un exchange instantáneo que no requiere cuenta, se llevó $1.32 millones.

Ver el ETH en Ethereum no le da a la víctima ninguna forma de recuperarlo. Lo que aún puede alcanzarse depende de las partes con poder sobre su porción: Circle sobre el USDC restante, KuCoin y Kyrrex sobre la cuenta que acreditó el depósito, y los exchanges instantáneos sobre quién colocó las órdenes.

Qué resolvería la cuestión del acceso

Kraken, que pagó 178 de los retiros, puede confirmar quién es el dueño de la cuenta y qué ocurrió dentro de ella. Tres registros pondrían a prueba la teoría de Bitquery: cuándo se agregaron las cuatro direcciones nuevas y si en ese momento aplicaba un bloqueo o una espera; si los retiros se realizaron a través de una sesión iniciada o mediante claves de API con derechos de retiro, credenciales que permiten al software actuar sobre una cuenta sin que una persona inicie sesión; y si alguna configuración de seguridad cambió en las horas previas a las 12:25 UTC del 1 de noviembre.

Si esos registros muestran que las direcciones nuevas pasaron porque se desactivó un período de espera, la lección se orienta hacia la configuración de la cuenta. Si las configuraciones estaban intactas y el dinero aún se movió a través de wallets antiguas, la lectura de compromiso de claves de wallet se fortalece. La señal pública más cercana es más limitada: si Circle congela los 3.74 millones de USDC aún retenidos, casi todo en cinco wallets, antes de que el ladrón los mueva.

Verifica quién puede gastar desde cada dirección guardada

Para quien tenga grandes saldos en exchanges, el rastreo argumenta a favor de auditar la lista de retiros por poseedor de claves en lugar de por dirección. Para cada destino guardado, la pregunta es qué teléfono, laptop, extensión de navegador o servicio puede firmar por ella hoy, y si ese mismo dispositivo también guarda las credenciales del exchange. El punto de Bitquery es que una sola intrusión en ese dispositivo abre ambos.

Las defensas que sugiere se derivan de ello: una clave de hardware para iniciar sesión y para las wallets en la lista de permitidos, el período de espera para direcciones nuevas activado, y la misma vigilancia sobre las wallets permitidas que sobre la cuenta misma. Un pago que aterriza en una wallet que dejaste de usar es una señal de alerta. Coindoo documentó una brecha similar cuando wallets antiguas fueron drenadas después de que traders dejaron de usar un bot: una dirección en la que ya no piensas todavía puede tener alguien capaz de gastar desde ella.