Nuevos depósitos llegan a las carteras afectadas y son desviados ya al atacante
Una estimación que aumentó durante el fin de semana
El investigador Specter actualizó el 26 de julio la pérdida estimada hasta aproximadamente 11,8 millones de dólares. La primera alerta se había publicado el viernes 24, por lo que la novedad dentro de la ventana editorial es la ampliación del importe y la constatación de que las direcciones afectadas continuaban recibiendo y desviando depósitos.
La firma de análisis PeckShield había calculado previamente salidas superiores a 9,7 millones de dólares. Según la reconstrucción publicada el domingo por The Block, otros 1,8 millones fueron extraídos posteriormente mediante direcciones de Bitcoin y Tron. Las cifras son estimaciones basadas en transacciones públicas y pueden variar al identificar nuevas direcciones o valorar los activos.
El acontecimiento y sus actualizaciones deben distinguirse: las salidas principales comenzaron el 24 de julio, Triple-A reconoció la investigación el día 25 y la estimación de 11,8 millones fue publicada el 26. Al cierre no existía un informe forense de la empresa que confirmara el importe definitivo ni el método utilizado para acceder a las carteras.
Qué es una cartera caliente
Una cartera caliente mantiene claves o sistemas de firma disponibles para procesar pagos con rapidez. Los proveedores necesitan liquidez operativa en varias redes para recibir criptomonedas, convertirlas y enviarlas sin trasladar cada operación desde un dispositivo desconectado. La contrapartida es una superficie de ataque mayor que la de una cartera fría, cuyas claves permanecen fuera de línea.
El incidente alcanzó direcciones asociadas con Ethereum, Tron, Polygon, Arbitrum, Solana y TON, a las que después se añadió Bitcoin, según Specter. La presencia en múltiples redes indica que Triple-A mantenía infraestructura para aceptar distintos activos y cadenas. No demuestra, sin embargo, que los protocolos de esas redes fueran vulnerados: el elemento común serían las carteras o los controles administrados por el procesador.
Triple-A no ha informado si el acceso se produjo mediante claves robadas, credenciales internas, un proveedor comprometido o una actualización maliciosa. Sin esa explicación no es posible determinar si todas las direcciones dependían de un mismo sistema de firma o si el atacante obtuvo acceso a varios entornos independientes.
Los nuevos depósitos continuaron siendo barridos
Specter observó que algunas direcciones seguían recibiendo fondos más de 31 horas después de las primeras salidas importantes. Esos depósitos eran enviados posteriormente hacia direcciones controladas por el atacante. En análisis de cadena, un “barrido” describe la transferencia sistemática del saldo que llega a una cartera comprometida.
La continuidad puede explicarse por integraciones que todavía enviaban pagos a direcciones antiguas, transacciones iniciadas antes de la alerta o demoras en la actualización de los sistemas. No existe confirmación pública sobre cuál de esas posibilidades predominó. El episodio muestra por qué, después de detectar una intrusión, no basta con vaciar una cartera: deben detenerse las entradas y notificarse los cambios a todos los servicios conectados.
Las operaciones de Ethereum terminaron concentrándose en una dirección que recibió ocho transferencias entre la noche del viernes y la madrugada del sábado, de acuerdo con The Block. Una captura del análisis mostraba unos 5.226,67 ETH, valorados entonces en aproximadamente 9,73 millones de dólares. El importe en moneda oficial fluctúa con el precio de ether y no equivale necesariamente a la pérdida contable final.
La empresa afirma que los clientes no fueron afectados
Triple-A declaró el 25 de julio que investigaba actividad no autorizada relacionada con carteras operativas. La compañía añadió que los activos de clientes no habían resultado afectados y que sus servicios continuaban funcionando. La afirmación procede de la propia empresa y todavía no ha sido respaldada públicamente por una auditoría o un inventario independiente.
La posible separación entre dinero corporativo y fondos de clientes es decisiva. Triple-A posee una licencia de institución de pagos importante de la Autoridad Monetaria de Singapur. Desde octubre de 2024, las normas locales obligan a determinados proveedores de tokens digitales a proteger los activos de clientes mediante cuentas fiduciarias u otras estructuras de salvaguarda.
Ese marco ayuda a explicar cómo una empresa puede perder liquidez operativa sin que el saldo segregado de sus usuarios resulte afectado. No prueba que la separación se aplicara correctamente en cada operación. Para confirmarlo harán falta direcciones identificadas, conciliación de pasivos, saldos de custodia y una explicación sobre qué entidad absorbió el perjuicio.
Seguimiento público y posibilidades de recuperación
Las cadenas públicas permiten observar cómo los fondos se trasladan y agrupan. Esa visibilidad puede ayudar a los investigadores, plataformas de intercambio y emisores de monedas estables a identificar direcciones. Sin embargo, atribuir una cartera a una persona exige información adicional y el seguimiento no garantiza la recuperación.
Parte del valor extraído estaba compuesto por activos que pueden pasar entre redes mediante puentes o convertirse en monedas con diferentes mecanismos de control. Los emisores centralizados de determinadas monedas estables pueden congelar unidades cuando reciben una orden válida o identifican actividad ilícita, mientras que bitcoin y ether no disponen de un administrador equivalente.
Hasta ahora no se ha anunciado una congelación, devolución o negociación con el responsable. Tampoco se ha divulgado si Triple-A contactó con autoridades, emisores o plataformas receptoras. La ausencia de esos datos impide calcular qué parte de los 11,8 millones continúa disponible y qué parte podría haber sido convertida o dispersada.
Preguntas para el informe forense
La investigación deberá establecer cómo se protegían las claves, si existían límites automáticos por dirección y por qué las carteras siguieron aceptando fondos después de la alerta. También será necesario saber si los sistemas de detección bloquearon alguna operación y cuánto tiempo transcurrió entre la primera anomalía, su confirmación interna y la suspensión efectiva de las rutas afectadas.
Otro aspecto será la segmentación. Una infraestructura con varias redes puede parecer diversificada, pero seguirá teniendo un único punto de fallo si todas las claves se administran desde la misma consola o dependen de credenciales comunes. La separación real requiere distintos dominios de seguridad, autorizaciones múltiples y procedimientos de emergencia probados.
El incidente no permite concluir que todos los fondos gestionados por Triple-A estén perdidos ni que sus clientes hayan sufrido un perjuicio directo. Lo comprobable es que varias direcciones operativas experimentaron salidas no autorizadas, que la estimación pública aumentó hasta 11,8 millones y que nuevos depósitos continuaron llegando a algunas carteras comprometidas.
La credibilidad de la respuesta dependerá ahora de una cronología completa, la explicación técnica del acceso, pruebas sobre la segregación de activos y un plan para evitar nuevos barridos. Hasta su publicación, tanto la cuantía final como el alcance sobre el balance empresarial permanecen sujetos a revisión.