Hacker de Upbit evade protecciones de Railgun y lava $36 millones en cripto: ¿Cómo lo hizo?
- ¿Qué sucedió en el hackeo de Upbit?
- ¿Cómo funcionó la estrategia de lavado?
- ¿Por qué Railgun no detectó las direcciones?
- ¿Qué revela el incidente sobre la seguridad cripto?
- Preguntas frecuentes
Un ataque sofisticado contra Upbit resultó en el robo de $36 millones, con el hacker utilizando el mezclador Railgun para evadir rastreos. A pesar de los protocolos de privacidad de Railgun, direcciones vinculadas al hackeo lograron "limpiar" 410 ETH. El caso revela vulnerabilidades en sistemas de seguridad y el creciente uso de herramientas de privacidad en DeFi. Analizamos los detalles técnicos, el impacto en el mercado y las lecciones para la industria.
¿Qué sucedió en el hackeo de Upbit?
El 28 de noviembre de 2025, Upbit, uno de los exchanges más grandes de Corea del Sur, sufrió un ataque que comprometió más de $36 millones en criptomonedas. Según el equipo de análisis de BTCC, aproximadamente $30 millones correspondían a tokens Solana almacenados en hot wallets. El hacker actuó con velocidad inusual: en cuestión de horas, convirtió los activos robados a SOL, luego a USDC, y finalmente los trasladó a Ethereum para su lavado.
Lo peculiar de este caso es cómo el atacante burló los mecanismos de seguridad de Railgun, un mezclador que utiliza pruebas de conocimiento cero (zk-SNARKs) para verificar fondos. Normalmente, Railgun bloquea direcciones asociadas a actividades ilícitas, pero en esta ocasión, el rápido movimiento entre wallets y el uso de swaps directos en DEXs permitieron evadir las listas negras.
¿Cómo funcionó la estrategia de lavado?
El hacker empleó una táctica en tres fases:
- Conversión inmediata: Vendió la mayoría de los tokens Solana robados, causando fluctuaciones notables en los volúmenes de trading según datos de CoinMarketCap.
- Movimiento entre cadenas: Los fondos se trasladaron de Solana a Ethereum, un patrón común en ataques atribuidos a grupos norcoreanos según analistas de Chainalysis.
- Uso estratégico de Railgun: Creó nuevas direcciones horas después del hackeo para evadir listas negras, mezclando finalmente 410 ETH (≈$1.6M).
¿Por qué Railgun no detectó las direcciones?
Railgun implementa un sistema que verifica direcciones contra bases de datos actualizadas de actividades sospechosas. Sin embargo, en este caso:
- El hacker utilizó wallets intermedias no marcadas previamente
- Las transacciones ocurrieron antes de que se actualizaran las listas negras
- El volumen total se dividió en múltiples transacciones más pequeñas
Un portavoz de Railgun explicó a CoinDesk que "los sistemas de privacidad no son infalibles contra ataques cuidadosamente planificados". Curiosamente, el valor total bloqueado (TVL) en Railgun alcanzó $95M en noviembre 2025, según DeFi Llama, mostrando su creciente adopción.
¿Qué revela el incidente sobre la seguridad cripto?
Upbit atribuyó la brecha a "debilidades en los métodos de hashing de claves privadas". En mi experiencia cubriendo hackeos desde 2021, este caso destaca dos tendencias preocupantes:
- Los atacantes están perfeccionando técnicas de evasión más allá de mezcladores tradicionales como Tornado Cash
- Existe una carrera armamentística entre protocolos de privacidad y herramientas de análisis on-chain
Vitalik Buterin ha defendido el uso legítimo de herramientas como Railgun, comparándolas con "efectivo digital" en términos de privacidad. Pero como muestra este caso, también tienen un lado oscuro.
Preguntas frecuentes
¿Cuánto dinero se robó exactamente en el hackeo de Upbit?
El monto total fue de aproximadamente $36 millones, con $30 millones en tokens Solana y el resto en otras criptomonedas.
¿Qué hizo el hacker con los fondos robados?
Convertió rápidamente los activos a SOL, luego a USDC, y finalmente a ETH antes de usar Railgun para mezclar 410 ETH ($1.6M).
¿Por qué Railgun no bloqueó las transacciones?
El hacker usó direcciones nuevas no marcadas en listas negras y movió los fondos antes de que los sistemas de detección pudieran actualizarse.
¿Se han recuperado algunos fondos?
Hasta la fecha no hay informes de recuperación significativa. Upbit afirma haber solucionado la vulnerabilidad explotada.
¿Qué pueden aprender otros exchanges?
El caso subraya la necesidad de mejores prácticas en gestión de claves privadas y monitoreo en tiempo real de transacciones sospechosas.
