Indodax mantenía 22 millones de dólares en monederos calientes: una sola brecha drenó seis cadenas a la vez

Indodax, el mayor exchange de criptomonedas de Indonesia, con más de 6 millones de usuarios, operaba monederos calientes —monederos conectados a internet que se usan para financiar los retiros diarios— que contenían decenas de millones de dólares repartidos entre varias cadenas de bloques. El 11 de septiembre de 2024, los atacantes ejecutaron más de 150 transacciones sospechosas y drenaron aproximadamente 22 millones de dólares: unos 14,6 millones en tokens ERC-20, 2,58 millones en activos de Polygon, 2,4 millones en Tron, 1,42 millones en Bitcoin y cantidades menores en Ethereum en Optimism.

Indodax desconectó sus aplicaciones web y móviles ese mismo día, calificándolo de «mantenimiento completo», y comunicó a los usuarios que sus saldos restantes seguían estando plenamente respaldados. Las firmas de análisis forense de blockchain que rastrearon los fondos robados —entre ellas Cyvers, SlowMist y PeckShield— señalaron que el patrón del ataque y la forma en que se blanquearon las ganancias mediante canjes a ETH, TRON, Polygon y Bitcoin se parecían mucho a los del Grupo Lazarus de Corea del Norte, el actor al que se atribuyen los hackeos de los exchanges WazirX y Bybit. Ninguna parte ha reivindicado la autoría e Indodax no ha confirmado la atribución.

El regulador de derivados de Indonesia, Bappebti, citó a Indodax para que diera explicaciones y pidió a los clientes que mantuvieran la calma mientras supervisaba la respuesta del exchange. Indodax afirmó que disponía de aproximadamente 369 millones de dólares en reservas —más de diez veces la suma robada— y se comprometió a resarcir a los usuarios afectados con ese colchón en lugar de trasladarles la pérdida.

Los atacantes drenaron 22 millones de dólares en Bitcoin, Ethereum, Tron y Polygon en una sola brecha; Indodax se comprometió a cubrir las pérdidas con 369 millones de dólares en reservas.

Decenas de millones de dólares permanecían en monederos calientes —accesibles por internet para los retiros habituales— en lugar del almacenamiento frío y sin conexión que los exchanges usan para la mayor parte de los fondos de los clientes.

Los saldos estaban repartidos entre seis cadenas de bloques distintas dentro de esos monederos calientes, de modo que un único punto de acceso comprometido pudo drenar las tenencias en Bitcoin, Ethereum, Tron y Polygon en la misma tanda de transacciones.

Salieron más de 150 transacciones antes de que Indodax lo detectara y desconectara su plataforma, lo que apunta a una monitorización que solo detectó la brecha cuando los fondos ya estaban en movimiento.

El dinero que se mantiene accesible para los retiros es dinero accesible para un atacante. Cuanto menos mantenga un exchange en caliente, y cuantas menos cadenas haya detrás de un solo monedero, menos podrá llevarse una única brecha.

Indodax restableció su plataforma tras desconectarla por mantenimiento y afirmó que cubriría las pérdidas de los usuarios con sus propias reservas. Bappebti mantuvo al exchange bajo revisión, y comentaristas jurídicos indonesios sostuvieron que la propia brecha demostraba que Indodax no había cumplido los estándares de fiabilidad del sistema que Bappebti y la OJK exigen a las plataformas de criptomonedas con licencia.