El hacker de Coinbase Commerce despierta y canaliza 5,4 millones de dólares a Tornado Cash

La billetera vinculada al hackeo de Coinbase Commerce (2024) volvió a la vida después de casi dos años de inactividad. Los datos en cadena muestran que el atacante comenzó a mover fondos en enero de 2026. En los movimientos recientes, ha depositado $5.4 millones en valor de Ethereum en Tornado Cash hasta ahora.

Antes de los depósitos, la dirección vinculada al robo movió aproximadamente $5.8 millones en DAI a una billetera nueva. Ese DAI se intercambió por Ether. El ETH luego se dividió en múltiples depósitos, y la actividad de Tornado Cash siguió un patrón claro de agrupación. El atacante envió veinte depósitos de 100 ETH, y luego siguieron cantidades más pequeñas. Estas incluyeron 10 ETH, 1 ETH y transferencias fraccionarias. Sin embargo, una billetera separada vinculada al atacante aún sostiene unos $4.6 millones en DAI.

Esto ocurre cuando el mercado cripto global está lidiando con una fuerte presión de venta. Ethereum ha caído casi un 10% en los últimos 7 días. ETH se cotizó en el rango de $3,100-$3,700 en abril de 2024, cuando ocurrió la explotación. Hasta ahora, Ether se cotiza a un precio promedio de $2,890.

Explotación de Coinbase Commerce

El incidente se remonta a la fecha marcada en abril de 2024. El investigador en cadena ZachXBT reportó flujos de salida sospechosos de un contrato de Coinbase Commerce en ese momento. El 21 de abril de 2024, el contrato registró más de 1,700 flujos de salida de USDC en una ventana de 16 horas en Polygon. El valor total alcanzó $15.97 millones.

El patrón sugería que un comerciante que usaba Coinbase Commerce había sido explotado. Los fondos fueron drenados en transferencias repetidas. El USDC robado luego se puenteó desde Polygon a Ethereum. Se intercambió por Ether y se dividió entre tres billeteras.

El atacante ha reanudado la actividad después de casi dos años de letargo y ahora está depositando fondos robados en Tornado Cash.

Se han depositado un total de $5.4M hasta el momento.

Antes de esto, la dirección del robo transfirió $5.8M DAI a una billetera nueva, que posteriormente se intercambió por… https://t.co/6hZWByeuRQ pic.twitter.com/67vx2CLk6U

— Specter (@SpecterAnalyst) enero 26, 2026

Poco después del robo, un actor de amenazas que utilizaba el alias «Excite» comenzó a discutir los fondos en chats privados. ZachXBT vinculó esas afirmaciones a direcciones asociadas con los flujos de salida. Mencionó que, en mayo de 2024, un usuario de Telegram con el nombre de usuario «tezedasads12» envió una transacción de 1 DAI. La transferencia se utilizó para demostrar el control sobre una billetera que contenía aproximadamente $6 millones procedentes del robo.

El mismo actor afirmó ser el propietario del nombre de usuario de Instagram «Excite». También intentó comprar un nombre de usuario de Telegram coincidente, pero no lo logró. La cuenta de Instagram era inicialmente privada, pero más tarde se hizo pública. La cuenta mostraba relojes de lujo y otros artículos de alto valor.

ZachXBT declaró que la inteligencia de código abierto sugería que el individuo podría haber estado basado en Dinamarca. Este detalle no fue confirmado de forma independiente. Después de la fase inicial de lavado, la mayoría de los fondos dejaron de moverse. Las billeteras vinculadas a la vulnerabilidad quedaron inactivas. Mientras tanto, una parte más pequeña de los fondos fue redirigida más tarde a través de intercambios descentralizados y plataformas de staking. Esas transacciones se utilizaron para mover activos a nuevas billeteras.

Una dirección de depósito mostró una alta exposición a infraestructura conocida de drenaje (drainer). Los investigadores marcaron esto como una señal de riesgo. El enero de 2026 Tornado Cash los depósitos marcan la primera actividad importante vinculada a la vulnerabilidad en casi dos años. 

Hackeo de Coinbase 2025

El caso se suma a una serie de incidentes de seguridad vinculados a Coinbase. En mayo de 2025, Coinbase reveló un ciberataque separado. La empresa indicó que el incidente podría costar hasta $400 millones. En ese caso, los atacantes obtuvieron datos limitados de clientes pagando a contratistas y empleados. Los datos se utilizaron para suplantar la identidad de Coinbase y engañar a los usuarios.

Coinbase indicó que menos del 1 por ciento de los clientes se vieron afectados. Los atacantes exigieron $20 millones y Coinbase se negó a pagar. Las claves privadas no se vieron comprometidas. Sin embargo, la empresa dijo que reembolsaría a los usuarios afectados.