Las hot wallets controladas por Triple-A parecen haber perdido más de $9.7 millones en múltiples blockchains, con el presunto atacante intercambiando los activos y consolidando los fondos en Ethereum, según analistas on-chain e investigadores de seguridad blockchain.

Las salidas sospechosas habrían afectado al menos a cuatro redes, incluidas Ethereum, Solana, TRON y TON. Algunos reportes también señalaron transacciones relacionadas con Polygon y Arbitrum, lo que podría ampliar el incidente a seis redes.

El presunto atacante consolidó los fondos en aproximadamente 5,226.66 ETH en Ethereum. Triple-A no había confirmado la brecha al momento de la publicación y no había informado si fondos de clientes se vieron afectados.

Actividad sospechosa identificada en las hot wallets de Triple-A

El analista on-chain Specter fue el primero en señalar transacciones sospechosas que involucraban hot wallets vinculadas a Triple-A, un proveedor con sede en Singapur de infraestructura de pagos con stablecoins.

Las hot wallets son billeteras conectadas a internet que suelen utilizarse para liquidez operativa, incluidos depósitos, retiros y pagos. Eso hace importante distinguir entre un compromiso de wallet y un exploit a nivel de protocolo, porque los controles afectados, las contrapartes y las opciones de recuperación pueden ser diferentes.

Specter estimó inicialmente que se habían retirado, intercambiado y transferido entre cadenas hacia Ethereum más de $9.3 millones. La firma de seguridad blockchain PeckShield amplificó posteriormente la alerta, mientras que estimaciones posteriores ubicaron la pérdida sospechada por encima de $9.7 millones.

There appear to be ongoing wallet draining involving @TripleH hot wallets across multiple chains, including TRON, Ethereum, TON, and Solana. So far, more than $9.3M has been drained, swapped, and bridged to Ethereum. The funds are currently being consolidated here: Ethereum… pic.twitter.com/pLKvVwMWav — Specter (@SpecterAnalyst) July 24, 2026

https://x.com/SpecterAnalyst/status/2080764538874462386?ref_src=twsrc%5Etfw

La actividad habría involucrado wallets de Triple-A que operaban en Ethereum, Solana, TRON y TON. Reportes adicionales citaron posible actividad en Polygon y Arbitrum, aunque Triple-A no había confirmado públicamente el alcance de las redes afectadas.

La compañía tampoco había informado cuándo comenzó la actividad sospechosa, cómo se accedió a las wallets ni si los activos afectados pertenecían a Triple-A, a sus clientes comerciales o a destinatarios de pagos.

Ante la falta de un comunicado de la empresa o de una investigación técnica concluida, el incidente sigue siendo un presunto compromiso de hot wallets, más que un exploit de protocolo confirmado.

Los activos fueron enviados por bridges y consolidados en Ethereum

Los datos on-chain citados por investigadores de seguridad indicaron que los activos transferidos fueron intercambiados y enviados mediante bridges a Ethereum después de salir de las wallets afectadas.

La dirección receptora habría mantenido alrededor de 5,226.66 ETH, valorados en aproximadamente $9.7 millones al momento de la alerta. Consolidar activos en Ether puede facilitar el movimiento de una combinación de stablecoins y tokens específicos de distintas redes desde una sola dirección.

Los investigadores no han identificado públicamente al presunto atacante. Tampoco han establecido si la dirección receptora está vinculada a exploits anteriores. Ningún reporte ha confirmado que los fondos hayan pasado a un exchange, mixer u otro servicio después de llegar a Ethereum.

La diferencia entre la estimación inicial de Specter de más de $9.3 millones y las cifras posteriores por encima de $9.7 millones podría reflejar transferencias adicionales o cambios en el valor de mercado de Ether. Una cifra verificada de pérdida dependerá de que Triple-A identifique cada wallet y transacción afectada.

El papel de Triple-A en pagos añade preguntas regulatorias y de contraparte

Triple-A proporciona infraestructura que permite a las empresas cobrar, convertir y enviar pagos mediante stablecoins y redes bancarias tradicionales. Sus servicios incluyen checkout para comercios, pagos empresariales, pagos locales y liquidación transfronteriza.

Para una empresa de pagos, el origen y la propiedad de los activos en wallets operativas pueden determinar si un incidente se limita a fondos de tesorería o si afecta a comercios, flujos de pago u obligaciones de liquidación. Esos detalles no habían sido divulgados al momento de la publicación.

La compañía afirma que opera como institución financiera licenciada en Estados Unidos, Europa y Singapur. Triple-A también cuenta con una licencia de Major Payment Institution otorgada por la Monetary Authority of Singapore y se unió en marzo a Circle Payments Network para respaldar la liquidación de stablecoins a monedas locales.

La presencia de Triple-A en Estados Unidos le da al incidente una posible dimensión regulatoria y de contraparte, aunque no hay evidencia de que clientes o empresas estadounidenses hayan sufrido pérdidas. Cualquier impacto en Estados Unidos dependerá de qué entidad controlaba las wallets, quién era propietario de los activos y si estuvieron involucradas operaciones de pago reguladas.

Triple-A utiliza Fireblocks como parte de su infraestructura de activos digitales. Sin embargo, ni los investigadores on-chain ni Triple-A han atribuido la presunta brecha a Fireblocks, y ninguna evidencia disponible indica que el proveedor de tecnología de custodia haya sido comprometido.

El incidente ocurre tras un ataque cross-chain separado

La presunta brecha de Triple-A ocurre después de otro incidente reciente relacionado con infraestructura cross-chain. Como informó crypto.news, un atacante fabricó 1,627 eventos de depósito en Solana dirigidos al relayer operado por Risk Labs para Across Protocol el 17 de julio.

Esos depósitos falsos solicitaron $41.7 millones en pagos a través de 18 cadenas de destino. El relayer de Risk Labs completó 581 solicitudes antes de que Across detuviera sus operaciones en Solana, limitando la pérdida realizada a menos de $4 millones, según el reporte posterior al incidente del protocolo.

Los incidentes de Across y Triple-A no parecen estar conectados. Sin embargo, ambos casos involucraron actividad en varias redes, lo que aumentó la cantidad de wallets, sistemas de transacción y procesos de monitoreo necesarios para detectar transferencias sospechosas.

Triple-A aún no ha dicho si suspendió depósitos, retiros u operaciones cross-chain. Se espera que el próximo comunicado de la compañía aclare la pérdida final, los activos afectados, el origen de la brecha y si los clientes recibirán compensación.