Billeteras atribuidas a la firma de pagos con stablecoins Triple-A fueron drenadas por más de $9.7 millones en TRON, Ethereum, Polygon y Arbitrum antes de que los activos robados fueran enviados a Ethereum, según un análisis onchain.

El analista onchain Specter rastreó las salidas multichain y vinculó las billeteras afectadas con Triple-A. Los activos robados fueron movidos mediante puentes cross-chain y finalmente consolidados en 5,227 ETH en una dirección de Ethereum que comienza con 0x01F8 y termina con 53b1. Las transferencias convergieron en esa dirección después de que los fondos salieran de billeteras en las cuatro redes. La conversión a ETH nativo limita las opciones de recuperación porque, a diferencia de stablecoins como USDC o USDT, cuyos emisores pueden congelarlas a nivel de contrato inteligente, el ETH nativo no cuenta con un mecanismo de lista negra comparable.

Los roles de las billeteras afectadas, la titularidad de los saldos drenados y cualquier posible exposición relacionada con fondos de liquidación de comercios siguen sin confirmarse. Ningún análisis técnico ha identificado aún si las transferencias fueron resultado de una vulneración de clave privada, credenciales de firma robadas u otro tipo de brecha en la infraestructura de billeteras de Triple-A.

Triple-A no ha confirmado la pérdida

Triple-A no había publicado un aviso de seguridad ni reconocido los movimientos de las billeteras al momento de la publicación. La compañía tampoco había anunciado ninguna suspensión de pagos, retiros o servicios de liquidación.

La empresa con sede en Singapur proporciona infraestructura que permite a los negocios recibir y enviar pagos usando stablecoins y monedas locales. Su plataforma gestiona la conversión y la liquidación sin exigir que los comercios administren criptoactivos directamente, lo que significa que cualquier interrupción en sus billeteras operativas podría afectar a los comercios que dependen de la plataforma sin mantener criptomonedas por cuenta propia.

Triple-A opera como una Major Payment Institution regulada por la Monetary Authority of Singapore. La empresa obtuvo el mes pasado la autorización completa de MiCA para servicios de activos digitales en la Unión Europea. También recibió aprobación preliminar de la Virtual Assets Regulatory Authority (VARA) de Dubái el 15 de julio para servicios de broker-dealer. Por lo tanto, el incidente involucra a una entidad regulada en Singapur, la Unión Europea y los Emiratos Árabes Unidos, cada uno con marcos distintos para la custodia de activos digitales y la seguridad operativa.

La compañía no ha aclarado si las direcciones afectadas se usaban para gestión de tesorería, procesamiento de pagos, depósitos de clientes u operaciones internas de liquidez.

CryptoAdventure contactó a Triple-A para confirmar los movimientos de las billeteras, el origen de la brecha y cualquier posible exposición de clientes. La empresa no había respondido al momento de la publicación.

El drenaje extiende una semana de pérdidas cripto

Las transferencias de Triple-A siguen a tres ataques separados divulgados a principios de la semana, todos relacionados con puentes y billeteras controladas por proyectos.

AFX Trade perdió 24.15 millones de USDC de su puente en Arbitrum después de que un retiro no autorizado superara su umbral de validadores y su ventana de disputa. El atacante transfirió los fondos a Ethereum mediante un puente y los intercambió por aproximadamente 12,467 ETH.

Posteriormente, el Verus Ethereum Bridge fue drenado por aproximadamente $7.54 millones mediante una importación maliciosa que liberó activos sin depósitos equivalentes en la red Verus. En un incidente separado, 8.59 millones de tokens B2 fueron drenados y valuados cerca de $3.86 millones antes de que los activos fueran vendidos en BNB Chain.

Triple-A no había identificado el nivel de billetera comprometido, emitido instrucciones para clientes ni divulgado un proceso de recuperación al momento de la publicación.