Más de 500 carteras de Ethereum fueron vaciadas en un ataque coordinado; los fondos se blanquearon a través de ThorChain

Más de 500 carteras de Ethereum, muchas inactivas durante años, fueron drenadas en un ataque coordinado que provocó aproximadamente 800.000 dólares en pérdidas, y los fondos robados posteriormente fueron blanqueados mediante el protocolo entre cadenas ThorChain, según investigadores on-chain. El incidente destaca por la antigüedad de las carteras afectadas, ya que algunas permanecieron inactivas hasta siete años. Los analistas señalaron que el atacante apuntó a carteras sin actividad reciente, lo que genera preocupación por vulnerabilidades latentes ligadas a prácticas más antiguas de gestión de claves o credenciales previamente comprometidas.

Objetivos del ataque: carteras inactivas a gran escala

Los datos on-chain indican que un conjunto coordinado de direcciones drenó sistemáticamente fondos de cientos de carteras en un período corto. Las carteras afectadas mantenían ether y otros tokens, aunque los saldos individuales, en general, eran modestos.

Los investigadores observaron que muchas de las carteras comprometidas se crearon entre cuatro y ocho años atrás, lo que sugiere que métodos de almacenamiento más antiguos o claves privadas expuestas pudieron haber desempeñado un papel. En algunos casos, los usuarios afectados informaron no haber interactuado recientemente con aplicaciones descentralizadas ni con contratos sospechosos, lo que añade incertidumbre sobre cómo se obtuvo el acceso.

El atacante no vació por completo cada cartera, lo que llevó a los analistas a considerar si la operación implicó un objetivo selectivo basado en umbrales de saldo o estrategias de extracción diseñadas para evitar la detección.

Vector de ataque incierto

Uno de los aspectos más significativos del incidente es la ausencia de un punto de entrada confirmado. A diferencia de los drenajes de carteras comunes vinculados a enlaces de phishing o aprobaciones maliciosas, este ataque aún no se ha relacionado con un mecanismo de explotación específico.

Los investigadores de seguridad han sugerido varias explicaciones posibles, incluidas claves privadas comprometidas, vulnerabilidades en software de cartera desactualizado, o credenciales expuestas en filtraciones de datos históricas que solo recientemente se explotaron.

El objetivo de carteras inactivas ha intensificado las preocupaciones porque, a menudo, este tipo de direcciones se asume que son más seguras debido a su falta de interacción con protocolos más nuevos. El evento pone en duda esa suposición y resalta los riesgos asociados con el almacenamiento a largo plazo sin rotación periódica de claves.

Fondos enrutados a través de ThorChain para oscurecer el rastro

Tras el robo, el atacante movió los fondos a través de ThorChain, un protocolo descentralizado de liquidez entre cadenas que permite intercambios de activos entre múltiples blockchains sin intermediarios centralizados. Los investigadores dijeron que porciones del ether robado se convirtieron en otros activos para complicar los esfuerzos de seguimiento. El uso de infraestructura entre cadenas y el intercambio de activos es una táctica común en exploits relacionados con cripto, ya que fragmenta los rastros de transacciones y reduce la trazabilidad.

Implicaciones de seguridad y recomendaciones

El incidente pone de relieve vulnerabilidades persistentes en sistemas de autocustodia, en particular para carteras creadas durante fases anteriores del ecosistema cripto. A medida que la industria evoluciona, las carteras antiguas pueden apoyarse en suposiciones de seguridad desactualizadas o en herramientas que ya no se consideran buenas prácticas.

Los analistas de seguridad han advertido que las carteras inactivas pueden convertirse en objetivos si las claves privadas se expusieron mediante entropía débil, dispositivos comprometidos o filtraciones históricas. El evento más reciente resalta la importancia de medidas de seguridad proactivas, incluida la migración de fondos a carteras recién generadas y la actualización de las prácticas de almacenamiento.

Aunque el impacto financiero es relativamente limitado en comparación con exploits DeFi más grandes, la naturaleza del ataque ha atraído una atención considerable debido a su inusual estrategia de focalización y a la causa técnica poco clara. Para los participantes del mercado, el incidente refuerza la importancia de la higiene de carteras y la gestión de claves mientras los atacantes siguen evolucionando sus métodos.

Los investigadores continúan analizando los patrones de transacción con el objetivo de determinar la causa raíz. Una comprensión más clara de la explotación podría informar recomendaciones de seguridad futuras y ayudar a prevenir incidentes similares. El ataque sirve como recordatorio de que la inactividad por sí sola no garantiza la seguridad en cripto, y que incluso activos dormidos durante mucho tiempo pueden convertirse en objetivos en un entorno de amenazas cada vez más complejo.