Coinrail eliminó su cláusula de compensación diez días antes de perder un tercio de sus monedas

En las primeras horas del 10 de junio de 2018, los atacantes vaciaron aproximadamente 3.600 millones de tokens de nueve tipos —Pundi X, NPER, Aston, TRON, Storm y otros— del monedero caliente de Coinrail en un barrido de 40 minutos. El botín valía alrededor de ₩40.000 millones (unos $37M), cerca del 30% de todo lo que tenía el pequeño exchange de Seúl, lo que lo convirtió en el mayor robo a un exchange de criptomonedas de Corea hasta esa fecha. La noticia hizo caer el bitcoin alrededor de un 7% y borró aproximadamente $30.000 millones de valor de mercado cripto en cuestión de horas.

La brecha se produjo diez días después de que Coinrail hubiera reescrito sus términos. En abril de 2018, la Comisión de Comercio Justo (Fair Trade Commission) de Corea revisó los términos de doce exchanges, encontró catorce tipos de cláusulas abusivas —principalmente exenciones generales que trasladaban las pérdidas por hackeo a los clientes— y ordenó correcciones. Los rivales reescribieron sus cláusulas de compensación en mayo; Coinrail, en cambio, eliminó directamente el artículo 20(4), la disposición de indemnización por daños, el 31 de mayo, conservando solo la cláusula que preservaba las propias reclamaciones de la empresa contra los miembros. La FTC señaló que la eliminación no borra la responsabilidad: el derecho civil exige compensación en efectivo.

La negociación estuvo caída durante más de un mes. La primera declaración del exchange decía que el 70% de los activos estaban a salvo en almacenamiento en frío, que dos tercios de los tokens robados habían sido congelados con los emisores y exchanges asociados, y que el robo involucraba tokens menos conocidos en lugar de bitcoin. Cuando el servicio se reanudó la noche del 15 de julio, su propio aviso de recuperación contó una historia diferente: el 34,8% del bitcoin de los usuarios seguía sin recuperar, junto con TRX 33,1%, KNC 29,9%, STORM 56,1%, NPXS 84,2%, ATX 42,9% y NPER 89,4%.

El plan de recuperación daba a los usuarios dos opciones: esperar a que el exchange recomprara los tokens no recuperados con futuros beneficios operativos, o canjear los saldos por RAIL, el token propio de Coinrail, a un tipo fijo de 1 RAIL = ₩0,72. Los inversores rechazaron ambas por su valor incierto y presentaron denuncias por malversación contra el CEO Nam Kyung-sik; el 5 de julio de 2018, la policía de Gangnam remitió el caso al equipo de delitos económicos de la Fiscalía del Distrito Central de Seúl, que necesitaba la escala real de las pérdidas para perseguirlo.

~$37M (₩40B) en tokens desaparecidos —incluido el 34,8% del bitcoin de los usuarios sin recuperar; la negociación caída durante cinco semanas mientras los mercados bajaban

Dos tercios de los activos del exchange estaban en un monedero caliente conectado a internet, por lo que el 30% de todo lo que poseían los usuarios quedó expuesto a una única intrusión que duró cuarenta minutos.

La respuesta de cumplimiento a la orden de la FTC fue la eliminación en lugar de la reparación: la cláusula que habría anclado las reclamaciones de compensación de los clientes fue lo único que se eliminó.

La divulgación inicial minimizó la pérdida: «el bitcoin intacto» se convirtió en «el 34,8% del bitcoin sin recuperar» solo cuando el servicio se reanudó cinco semanas después.

La compensación se denominó en el token de la propia empresa fallida y en sus beneficios futuros: instrumentos cuyo valor dependía enteramente de la entidad que acababa de no proteger los activos.

Eliminar la cláusula que prometía compensación a los clientes no elimina la obligación, y un exchange que mantiene un tercio de los activos de los clientes en un monedero caliente asume cada pérdida que se derive de ello.

Los retiros se reabrieron el 15 de julio de 2018 solo para las monedas recuperadas; el resto de los saldos de los usuarios quedó por defecto en las opciones de recompra o RAIL. Una denuncia por malversación contra el CEO Nam Kyung-sik llegó a la Fiscalía de Seúl el 5 de julio de 2018, con el tamaño de la pérdida aún por verificar. La posición de la Comisión de Comercio Justo quedó registrada: eliminar una cláusula no exime a un exchange de pagar compensación en efectivo. En pocos meses, Corea pasó a exigir cuentas de negociación con nombre real y certificación de seguridad para los exchanges, cerrando la brecha regulatoria que expuso este hackeo.