Duelbits desconecta su casino tras fuga de aproximadamente $7 millones desde hot wallets

Duelbits tomó su sitio web fuera de servicio el 24 de septiembre de 2026 tras detectar una brecha de seguridad que resultó en la salida de aproximadamente $7 millones desde hot wallets controladas por la compañía. Los movimientos afectaron inicialmente redes Ethereum, BNB Chain y Tron; investigadores posteriores identificaron una pérdida adicional de 8.1 BTC desde un hot wallet de Bitcoin. El cofundador Joe confirmó públicamente el incidente y afirmó que “user funds are safe”.

Brecha de seguridad Duelbits: qué se sabe del robo y las cadenas afectadas

Los registros on-chain y el trabajo de análisis de seguridad apuntaron a transferencias inusuales desde direcciones vinculadas a Duelbits hacia wallets recién creadas. Las siguientes redes estuvieron implicadas en las primeras fases del ataque: Ethereum, BNB Chain y Tron. Más tarde se detectó que la wallet de Bitcoin de Duelbits había sufrido la sustracción de 8.1 BTC, lo que elevó a cuatro las blockchains afectadas.

Los movimientos en la dirección asociada a Ethereum incluyen 836 ETH, aproximadamente 593,000 USDT, 97,000 USDC, 31,500 DAI y 12.4 mil millones de SHIB. Tras las transferencias, la dirección Ethereum identificada como hot wallet de Duelbits quedó con menos de $25 en ether.

Cómo operan las hot wallets y la hipótesis del control de claves privadas

Las hot wallets están conectadas a sistemas en línea para procesar transacciones con rapidez. Esa accesibilidad implica que quien obtenga las credenciales o las claves privadas puede firmar transferencias. Analistas de la firma Scam Sniffer observaban la rapidez y el tamaño de los movimientos y señalaron la posibilidad de una compromisión de claves privadas; Duelbits no ha confirmado esa evaluación.

Tras el robo, la mayor parte de los tokens sustraídos se intercambiaron por ether y se consolidaron en una dirección Ethereum recién creada que llegó a contener cerca de 2,234 ETH —un monto valorado en alrededor de $6 millones al momento del seguimiento de las transacciones—. En el momento del reporte, esos fondos no se habían movido desde esa dirección.

“Confirming a ~$7M hack. Still investigating exactly what happened and how,” escribió Joe, cofundador de Duelbits, añadiendo que “user funds are safe.”

Impacto sobre depósitos de usuarios y estado del servicio

Duelbits ha mantenido la plataforma inaccesible mientras completa su investigación y repone los hot wallets afectados. La compañía no ha detallado si los depósitos de clientes estaban guardados en las wallets comprometidas ni ha fijado una fecha de reapertura. La firma dijo que volverá a operar una vez terminada la investigación y tras reponer los saldos de las wallets calientes.

Antes del incidente, DappRadar ubicaba a Duelbits en el puesto 17 entre 43 criptocasinos monitorizados por depósitos on-chain; las wallets vigiladas mostraban aproximadamente $5.7 millones, aunque no se aclaró si esa cifra correspondía a saldos antes o después de las transferencias no autorizadas.

Conversión de stablecoins y limitaciones para recuperar activos

La conversión de stablecoins a ether complica las opciones de contención de activos robados. Compañías emisoras de stablecoins centralizadas, como USDT y USDC, disponen de mecanismos para congelar tokens en determinadas circunstancias; ether no tiene un emisor central con capacidad análoga para inmovilizar fondos en una dirección. Esto reduce las herramientas disponibles para frenar la consolidación de fondos una vez cambian a ETH.

Riesgos secundarios: intentos de recuperación fraudulenta y consejos a usuarios

La caída del servicio ha generado un mercado de ofertas de “recuperación” no oficiales. Duelbits advirtió a su base de usuarios que evite páginas y enlaces que soliciten credenciales de wallet o frases de recuperación. Durante la indisponibilidad, los usuarios pueden encontrarse con estafas que prometen reembolsos si facilitan claves privadas; proporcionar esa información compromete definitivamente cualquier posibilidad de recuperación.

Antecedentes comparables y contexto del sector

Un ataque similar a este método se vinculó con el incidente contra el criptocasino Stake en 2023, cuando los atacantes se llevaron aproximadamente $40 millones. La comparación no establece una causa idéntica, pero muestra que los compromisos de hot wallets han sido una veta recurrente en ataques a operadores cripto.

Siguientes pasos declarados por Duelbits y consideraciones para operadores y proveedores

Duelbits ha descrito el suceso como un "security incident" y ha indicado que planea restaurar operaciones y lanzar una versión denominada Duelbits 2.0 una vez que finalice la investigación y se repongan los fondos calientes. La compañía no ha publicado un informe técnico ni un cronograma detallado de las acciones forenses.

Para operadores y proveedores de infraestructura de pago en criptomoneda, el episodio subraya la necesidad de controles más estrictos en la gestión de claves y de estrategias que minimicen la exposición de hot wallets, así como la utilidad de auditorías externas y soluciones de custodia que separen la capacidad operativa de la tenencia de activos.

Lo que queda por aclarar

Permanece sin respuesta cómo el atacante obtuvo acceso a las wallets y qué parte, si alguna, del saldo de usuarios fue almacenada en esas direcciones calientes. Duelbits tampoco ha publicado evidencia independiente que confirme que los fondos de clientes están a salvo. La reapertura dependerá de la investigación interna de la compañía y de que los hot wallets se repongan.

Para actualizaciones sobre regulación y seguridad en el espacio cripto y de casinos, estas cuestiones continuarán siendo seguidas por analistas y por servicios de seguimiento on-chain como Scam Sniffer y DappRadar. Puedes revisar desarrollos relacionados en nuestra sección de regulación y en la cobertura de news.

Gonzalo Marín, Corresponsal de operaciones del sector.