Una plataforma de intercambio en Irán sufrió un importante ataque de Hacker, con casi cien millones de dólares en fondos robados.

El 18 de junio de 2025, un detective en la cadena reveló que la plataforma de criptomonedas más grande de Irán aparentemente había sufrido un ataque de Hacker, con transferencias anormales de grandes activos involucrando múltiples cadenas públicas.

El equipo de seguridad confirma además que los activos afectados en el incidente abarcan las redes TRON, EVM y BTC, estimando inicialmente una pérdida de aproximadamente 81,700,000 dólares.

La plataforma también publicó un anuncio confirmando que parte de la infraestructura y la billetera caliente efectivamente sufrieron accesos no autorizados, pero enfatizó que los fondos de los usuarios están seguros.

Es importante señalar que los atacantes no solo transfirieron fondos, sino que también enviaron activamente una gran cantidad de activos a una dirección de destrucción especial, y los activos "quemados" tienen un valor cercano a 100 millones de dólares.

Línea de tiempo de eventos

18 de junio

• El detective en la cadena revela que una plataforma de intercambio de criptomonedas en Irán supuestamente ha sido atacada por un Hacker, y se han producido numerosas transacciones de retiro sospechosas en la cadena TRON. El equipo de seguridad confirmó además que el ataque involucra múltiples cadenas, y se estima que la pérdida inicial es de aproximadamente 81,700,000 dólares.
• La plataforma informó que el equipo técnico detectó un acceso ilegal a parte de la infraestructura y a las billeteras calientes, por lo que se cortaron inmediatamente las interfaces externas y se inició una investigación. La gran mayoría de los activos se almacenan en billeteras frías y no se vieron afectados; esta invasión se limitó únicamente a una parte de las billeteras calientes utilizadas para la liquidez diaria.
• Un hacker organiza declaró ser responsable de este ataque y anunció que publicará el código fuente y los datos internos de la plataforma en 24 horas.

19 de junio

• La plataforma publicó el cuarto comunicado, indicando que ha bloqueado completamente las vías de acceso externo al servidor, y que las transferencias de la cartera caliente son "migraciones proactivas realizadas por el equipo de seguridad para garantizar los fondos". Al mismo tiempo, la oficial confirmó que los activos robados fueron transferidos a algunas billeteras con direcciones no estándar compuestas por caracteres arbitrarios, las cuales se utilizaron para destruir activos de los usuarios, sumando un total de aproximadamente 100 millones de dólares.
• La organización hacker afirma haber destruido activos criptográficos por un valor aproximado de 90 millones de dólares, y los denomina "herramienta de evasión de sanciones".
• El grupo de hackers publicó el código fuente de la plataforma.

Información del código fuente

Según la información del código fuente liberada por el atacante, el sistema central de esta plataforma está principalmente escrito en Python y utiliza K8s para su implementación y gestión. Con base en la información conocida, se supone que el atacante pudo haber superado los límites de operación y mantenimiento, ingresando así a la red interna.

Análisis de flujo de fondos

Los atacantes utilizaron múltiples "direcciones de destrucción" que parecen legítimas pero son incontrolables para recibir activos. La mayoría de estas direcciones cumplen con las reglas de validación de formato de dirección en la cadena y pueden recibir activos con éxito, pero una vez que los fondos se transfieren, se consideran destruidos de forma permanente. Al mismo tiempo, estas direcciones también contienen palabras emocionales y provocativas, lo que implica un ataque.

Según el análisis de herramientas de seguimiento y anti-lavado de dinero en la cadena, los atacantes han realizado numerosas transacciones en múltiples redes de blockchain, involucrando activos que incluyen USDT, TRX, BTC, ETH, BSC, DOGE, SOL y otras criptomonedas.

Sugerencias de seguridad

Este incidente recuerda una vez más a la industria: la seguridad es un todo, la plataforma debe reforzar aún más la protección de seguridad, adoptar mecanismos de defensa más avanzados, especialmente para las plataformas que utilizan carteras calientes para operaciones diarias, se sugiere:

• Aislar estrictamente los permisos y las rutas de acceso de las billeteras frías y calientes, auditar periódicamente los permisos de acceso de la billetera caliente;
• Utiliza un sistema de monitoreo en tiempo real en la cadena, obteniendo oportunamente información completa sobre amenazas y monitoreo de seguridad dinámico;
• Colaborar con el sistema de prevención de lavado de dinero en la cadena para detectar de manera oportuna flujos de fondos anormales;
• Fortalecer el mecanismo de respuesta ante emergencias para asegurar una reacción efectiva dentro de la ventana dorada después de que ocurra un ataque.

La investigación sobre el incidente sigue en curso, el equipo de seguridad continuará siguiendo el caso y actualizará los avances de manera oportuna.