El hacker de Upbit lava fondos a través de Railgun, pasando la prueba de inocencia del mezclador

El hacker de Upbit puede estar usando Railgun para mezclar fondos. A pesar de las verificaciones del mezclador, las direcciones del hacker no fueron marcadas y las transacciones se permitieron continuar. 

El análisis on-chain mostró que las direcciones vinculadas al hackeo de Upbit usaron el mezclador Railgun. El mezclador realiza una verificación de conocimiento cero para el origen de los fondos. Esta vez, sin embargo, la verificación no evitó los fondos de ser mezclados. 

Upbit fue hackeado por más de $36M, con más de $30M en activos de Solana. El ataque multicanal llevó a intercambios inmediatos y movimientos de fondos entre billeteras. 

El hacker vendió la mayoría de los activos casi inmediatamente, especialmente los tokens basados en Solana. El investigador on-chain @dethective notó que la venta tuvo un efecto en los volúmenes de mercado descentralizados. Al día siguiente del hackeo, las billeteras del explotador intercambiaron tokens de Solana por SOL. Después de eso, el SOL se intercambió por USDC, y los stablecoins se pasaron a Ethereum para su mezcla. 

En total, el hacker tenía más de 533 ETH después de las tarifas, valorados en aproximadamente $1.6M. El cambio a Ethereum y la mezcla subsiguiente es un patrón generalmente atribuido a hackers norcoreanos. 

Upbit también agregó nueva información sobre su hackeo. Según un comunicado del intercambio, la explotación puede deberse a un defecto en el sistema interno del intercambio, que ha sido parcheado. Upbit declaró que el hacker podría haber inferido claves privadas de billeteras calientes disponibles públicamente debido a la hashificación de claves predecible y una criptografía débil.

Railgun carecía de la información más reciente sobre las billeteras de los hackers

El enfoque de Railgun es probar las billeteras de cada usuario contra bases de datos constantemente actualizadas para actores maliciosos. En este caso, la lista completa de direcciones del hacker era muy reciente. Además, la explotación pasó por múltiples intercambios directos en DEX y parte de los fondos se trasladaron a nuevas billeteras. Los datos disponibles para Railgun estaban por lo tanto desactualizados, y la última billetera del hacker pasó la prueba. 

La última billetera interceptada lavó un total de 410 ETH. La nueva dirección fue creada solo horas después del hackeo y se usó brevemente como intermediaria. El cambio rápido de billeteras evitó además los filtros de Railgun.  

Railgun utilizado para actividad DeFi

Railgun ganó popularidad durante el reciente renacimiento de la narrativa de privacidad. Railgun aumentó su pool de activos, con $95M en valor bloqueado a partir de noviembre de 2025. El aumento de valor señala un interés creciente, ya que el mezclador logró $1.31M en tarifas para el T3. 

El uso de mezcladores creció en el último año. Tornado Cash, que anteriormente solo veía actividad de línea base, aumentó su valor bloqueado a un nuevo máximo. El mezclador tiene más de 32K ETH, tras múltiples explotaciones de alto perfil. 

El token nativo RAIL también aumentó en más del 200% durante los últimos tres meses, cotizando a $3.26. Railgun reflejó el éxito de ZCash y otras criptomonedas de privacidad, mientras que también fue promovido por Vitalik Buterin. 

Railgun no es una herramienta de primera elección para hackers y explotadores. Más bien, ha sido una herramienta de privacidad general para transacciones regulares. Los influencers de criptomonedas y las personas de alto perfil buscan privacidad, ya que incluso los datos de transacciones pueden llevar al rastreo o incluso a fluctuaciones de precios. 

Sin embargo, el uso de Railgun también puede ser rastreado. Además, las direcciones de los hackers pueden usar herramientas para probar qué billeteras serían marcadas por Railgun. Esto permitiría a los hackers seguir ocultando los productos de las explotaciones, la mayoría de los cuales son irrastreadables.