Drenaje de hot wallet en Indodax

El 11 de septiembre de 2024, Indodax —el mayor exchange de criptomonedas de Indonesia— detectó salidas no autorizadas de sus hot wallets. Las pérdidas totales se asentaron en aproximadamente 20 millones de dólares en Ethereum, BNB Chain, Polygon, Tron y un puñado de otras redes.

Qué ocurrió

Indodax no divulgó públicamente un análisis post-mortem técnico completo. La firma on-chain era el patrón a estas alturas familiar: actividad simultánea no autorizada en hot wallets en varias cadenas, bridging cross-chain inmediato a mezcladores y una campaña coordinada de lavado en las horas posteriores.

Varias firmas de seguridad atribuyeron la operación a Lazarus / TraderTraitor basándose en TTP consistentes con los ataques de Phemex y DMM Bitcoin anteriores y posteriores en el mismo año. Indodax no confirmó oficialmente la atribución.

Consecuencias

• Indodax pausó operaciones durante aproximadamente 24 horas, rotó las claves de hot wallet y reanudó el trading con saldos repuestos desde reservas internas.
• Los usuarios afectados fueron compensados íntegramente.
• Sin recuperaciones públicas desde las direcciones del atacante.

Por qué importa

Indodax ilustra que 2024 fue el año en que el compromiso multicadena de hot wallets se convirtió en una amenaza rutinaria. Cinco golpes a exchanges de gama media en doce meses —BtcTurk, WazirX, BingX, Indodax, DMM Bitcoin— comparten la misma huella operativa. El patrón está ahora tan bien documentado que los exchanges sin particionamiento HSM por cadena están efectivamente corriendo un riesgo operativo conocido.