Un atacante drenó más de $8 millones de la plataforma cripto Coinsbuy en las redes de Tron y Ethereum el 9 de agosto, antes de mover la mayor parte de los fondos robados a través de intercambios intermediarios, según un análisis del investigador de blockchain BlockWatchdog.

En un informe publicado en X, BlockWatchdog señaló que el ataque comenzó en Tron con una transacción de prueba de 5 USDT, un paso común de reconocimiento que los atacantes utilizan para verificar el acceso y las rutas de transacción antes de ejecutar transferencias más grandes. Minutos después, más de 6 millones de USDT fueron drenados de ocho billeteras de Coinsbuy. En Ethereum, otros 1.89 millones de USDT y 77 ETH fueron sustraídos de tres billeteras.

"El 9 de agosto, Coinsbuy identificó un incidente de seguridad que resultó en retiros no autorizados de varias billeteras de la plataforma", dijo Coinsbuy en un comunicado compartido con Decrypt. "El problema ha sido contenido, y nuestro equipo actuó de inmediato para asegurar la plataforma y proteger a nuestros usuarios."

BlockWatchdog vinculó las transacciones de Tron y Ethereum al mismo atacante a través del servicio de intercambio entre cadenas Bridgers. El atacante luego movió aproximadamente $6.34 millones, o el 79% de los fondos robados, a través del intercambio de criptomonedas FixedFloat. Otros 150 ETH fueron enviados a través de ChangeNOW. Tanto FixedFloat como ChangeNOW son servicios de intercambio sin custodia que han sido utilizados con frecuencia en redes de lavado anteriores debido a su relativamente baja fricción en comparación con los intercambios plenamente regulados. Según BlockWatchdog, otros 282.2 ETH adicionales, con un valor aproximado de $542,000 al momento del ataque, permanecieron intactos en cinco direcciones.

Horas después del robo, Coinsbuy reponió las billeteras afectadas. BlockWatchdog informó que alrededor de $3.93 millones fueron devueltos a las mismas 10 direcciones, con siete depósitos coincidiendo con los montos robados originalmente dentro de un margen del 0.05%.

"Todos los fondos de los clientes afectados han sido cubiertos completamente por Coinsbuy con nuestras propias reservas, por lo que nuestros usuarios no han experimentado pérdidas financieras", dijo Coinsbuy. "La plataforma ha vuelto a operar con normalidad, con todos los servicios totalmente disponibles."

Según BlockWatchdog, la decisión de reponer las billeteras sugiere que el equipo de Coinsbuy no creía que las claves privadas subyacentes hubieran sido comprometidas.

"Eso solo tiene sentido si el equipo no cree que las claves privadas se filtraron", escribió BlockWatchdog. "Una dirección es una clave: nadie recarga una billetera comprometida con siete cifras dos veces en una noche. Lo que fue tomado el 9 de agosto estaba por encima de las claves: la ruta de retiro que las utiliza."

Si bien se desconoce el vector de ataque exacto, BlockWatchdog sugirió que el atacante pudo haber obtenido acceso al sistema de retiros de Coinsbuy, un escenario consistente con un patrón más amplio de ataques dirigidos a infraestructura operativa como servidores de firma, puntos de conexión API o flujos de aprobación, en lugar del material de clave en bruto.

"Nada en la cadena muestra cómo se alcanzó la ruta de retiro; la recarga argumenta en contra del robo de claves, pero no nomina qué lo reemplazó", escribió el investigador. "Tampoco hay atribución: cero superposición de direcciones con el atacante de Triple-A del 24 de julio, y un hábito de lavado diferente."

Coinsbuy no había explicado públicamente cómo el atacante obtuvo acceso al momento de la publicación, pero indicó que la empresa está "realizando una investigación exhaustiva para establecer exactamente qué ocurrió".

"Para apoyar la investigación, también estamos lanzando una iniciativa para capturar a los responsables de este incidente: una recompensa de $100,000 por información que conduzca a su identificación", dijo Coinsbuy. "Estará disponible una bonificación adicional por cualquier asistencia que lleve a la recuperación de los fondos robados."

El incidente es el más reciente en una serie de grandes hackeos cripto en los últimos meses. Los protocolos DeFi perdieron más de $840 millones por hackeos en los primeros cinco meses de 2026, según DeFiLlama. En julio, atacantes robaron $24 millones de AFX Trade basado en Arbitrum tras explotar un puente operado por el intercambio descentralizado. Antes ese mismo mes, el intercambio descentralizado Ostium perdió $18 millones después de que un atacante comprometiera una clave de oráculo.

Nota del editor: Este artículo fue actualizado después de su publicación para incluir el comentario de Coinsbuy.