Según el investigador de blockchain Specter y el seguimiento posterior de las firmas de seguridad, las carteras vinculadas al procesador de pagos de criptomonedas Coinsbuy fueron supuestamente vaciadas de más de $7.9 millones en Ethereum y TRON alrededor de las 13:00 UTC del 9 de agosto.
El atacante comenzó entonces a redirigir parte de los activos robados a través de intercambios y hacia Monero, una criptomoneda centrada en la privacidad.
PeckShield dijo que las carteras "probablemente perdieron" alrededor de $7.9 millones y rastreó parte de las ganancias a través de ChangeNOW, FixedFloat y BingX. El feed de seguridad de CertiK transmitió de forma independiente la misma pérdida estimada y las mismas rutas de intercambio. El vector de ataque preciso no se ha establecido públicamente.
Specter identificó dos direcciones de Ethereum y una dirección de TRON como destinos del robo. El movimiento entre redes sugiere que el atacante obtuvo acceso capaz de mover activos en más de una cadena, pero eso no establece si las claves privadas, las credenciales de administrador u otra parte de la infraestructura de Coinsbuy se vieron comprometidas.
GoPlus Security afirmó que la actividad era "consistente con el robo de claves privadas de billetera caliente o privilegios de administrador". Esto sigue siendo una evaluación, no una causa raíz confirmada. Coinsbuy no ha publicado un informe técnico post-mortem en la documentación pública revisada el 10 de agosto. Sus últimas notas de lanzamiento visibles datan del 31 de julio.
Coinsbuy se describe a sí misma como un servicio de pago de criptomonedas enfocado en negocios que ofrece procesamiento de pagos, infraestructura de billeteras y gestión de activos digitales. Su sitio oficial también anuncia servicios de procesamiento de pagos de criptomonedas y de billetera para empresas.
Después del drenaje, el atacante comenzó a enviar los activos robados a través de servicios de intercambio. Specter dijo que los fondos se estaban convirtiendo a Monero, mientras que PeckShield identificó a ChangeNOW, FixedFloat y BingX entre las plataformas que recibieron porciones de las ganancias.
Specter también dijo que ChangeNOW ayudó a congelar una cantidad de seis cifras antes de que pudiera moverse más. ChangeNOW no había emitido una declaración pública separada confirmando la suma exacta congelada en las fuentes revisadas para esta historia, por lo que la cantidad sigue siendo atribuida al investigador.
La ruta de lavado se asemeja a patrones vistos en otros grandes robos de criptomonedas. En un caso de recuperación anterior, los investigadores ayudaron a congelar alrededor de $1.2 millones vinculados a los activos robados de Bo Shen después de que los fondos pasaran por servicios como ChangeNOW. Por separado, un robo de billetera en enero involucró a atacantes convirtiendo Bitcoin y Litecoin robados en Monero.
Coinsbuy pausó los depósitos y retiros después del incidente y luego los restauró, según la actualización de Specter e informes que citan al investigador. No se pudo ver ningún aviso de incidente separado que confirmara el cronograma en las notas de lanzamiento públicas de Coinsbuy en el momento de la revisión.
Tampoco queda claro de las divulgaciones públicas si los $7.9 millones reportados consistieron enteramente en activos propiedad de Coinsbuy, fondos de clientes o una combinación de ambos. No se observó ningún desglose de pérdidas de clientes o plan de reembolso en los materiales de la empresa revisados el 10 de agosto.
Esa distinción es importante porque la restauración del servicio no establece que la investigación esté completa o que la pérdida total se haya recuperado. La imagen pública verificada actualmente se limita al drenaje reportado, las direcciones de robo identificadas, la actividad de lavado y una congelación parcial.
El caso se suma a un año ajetreado en seguridad. TRM Labs registró 207 hacks y aproximadamente $972 millones robados durante la primera mitad de 2026, según datos citados en la cobertura reciente de pérdidas de la industria. Las fallas de infraestructura y operativas representaron la mayor parte del valor perdido durante ese período.
La próxima actualización material sería un informe de incidente de Coinsbuy que identifique el vector de ataque, los activos afectados, la pérdida final y cualquier exposición del cliente. La confirmación de ChangeNOW o de los otros intercambios también podría aclarar cuánto se congeló y si quedan fondos recuperables adicionales.
Por ahora, las afirmaciones sobre cómo el atacante obtuvo acceso deben mantenerse con cautela. Los investigadores de seguridad continúan rastreando las direcciones de Ethereum y TRON listadas, pero el movimiento hacia Monero puede dificultar el rastreo posterior una vez que los fondos abandonan las blockchains transparentes.
