Mira, en octubre de 2026, los casinos cripto aprendieron la misma lección dos veces en diecinueve días. El 13 de octubre, los atacantes vaciaron las hot wallets de Gamdom en cinco cadenas en menos de una hora... El 24 de septiembre, Duelbits se apagó después de que sus propias hot wallets fueran drenadas. En conjunto, los dos incidentes costaron entre $7 millones y $11 millones, dependiendo de a quién le creas las cifras... Ambos operadores dijeron las mismas cuatro palabras: los fondos de los usuarios están seguros... Ninguno ha publicado un post mortem.
Las cifras principales importan menos que el patrón. No fueron exploits de contratos inteligentes ni bugs astutos de protocolos... Fueron ataques a la plomería aburrida que todo casino cripto ejecuta para hacer posibles los retiros instantáneos... Si mantienes un saldo en cualquier casino cripto offshore, esa plomería es lo que separa tu dinero de la wallet de otra persona.
Qué pasó en el hackeo de Gamdom
El drenaje comenzó alrededor de las 15:50 UTC del 13 de octubre. En aproximadamente una hora, las hot wallets de Gamdom en Ethereum, Solana, BNB Chain, Tron y XRP Ledger enviaron cada una un pago grande a una única dirección de atacante en esa cadena. La primera publicación pública de Gamdom, a las 18:45 UTC, describió el sitio como offline y prometió un regreso rápido.
La explicación llegó al día siguiente... El personal que investigaba lo que parecía una falla de disco del servidor encontró una conexión no autorizada en un servidor de automatización, la máquina que firma y envía retiros sin un humano en el bucle. El fundador Felix Römer confirmó una brecha en el sistema de hot wallets, dijo que el drenaje había sido detenido y que los activos restantes habían sido movidos a cold storage. Su cifra de pérdida: poco más de $3 millones... Aun así, el investigador on-chain vxdb contó más. Según ese recuento, el atacante se llevó $4.208 millones.
| Red | Monto estimado drenado |
|---|---|
| Cadenas EVM (Ethereum, BNB Chain, Polygon, Arbitrum, Optimism) | Alrededor de $2.2 millones |
| Solana | Alrededor de $965,000 |
| Bitcoin | Alrededor de $668,000 |
| Tron | Alrededor de $375,000 |
| Total (estimación de vxdb) | $4.208 millones |
| Cifra propia de Gamdom | Poco más de $3 millones |
La diferencia de $1.2 millones no ha sido explicada. Las transferencias internas entre las propias wallets de un operador pueden inflar las estimaciones externas, así que vxdb podría estar sobrecontando... Gamdom también podría estar subcontando. Sin un desglose publicado por el casino, nadie fuera de la compañía puede decirlo.
Gamdom relanzó el 16 de octubre a las 12:34 UTC, después de más de dos días offline. Volvió con una tabla de clasificación diaria de $45,000, un bono de depósito del 20% para usuarios existentes y una segunda competencia de semana de relanzamiento. Esa es una forma muy de casino de disculparse. Pedirle a la gente que deposite más.
El atacante cambió stablecoins a DAI, y eso te dice algo
El detalle más interesante en el rastro on-chain no es el tamaño del robo. Es lo que pasó en los primeros minutos. Una wallet nueva de Ethereum recolectó alrededor de $1.2 millones de tres de las hot wallets e inmediatamente cambió los USDT y USDC a DAI... Una segunda wallet, que también recibió el pago de BNB Chain, reunió alrededor de $870,000 en DAI, gran parte vía un puente.
Con la mano en el corazón, ese swap es deliberado... Tether y Circle pueden congelar USDT y USDC a nivel de contrato, y ambos lo han hecho antes con fondos hackeados. DAI no tiene emisor con un botón de congelación. Para la madrugada del 14 de octubre, las dos wallets tenían aproximadamente $2 millones, y alrededor de $1.8 millones en DAI más 87 ETH apenas se han movido desde entonces. Los receptores de Tron y XRP se comportaron diferente, reenviando fondos en 80 minutos. Naturalmente, la conclusión para los jugadores: la función de congelación de stablecoins que los casinos y reguladores citan como red de seguridad solo funciona si alguien la activa en los primeros minutos... Un atacante competente convierte antes de que alguien en Tether haya leído la alerta.
Qué pasó en el hackeo de Duelbits
Duelbits ya había pasado por esto. El 24 de septiembre, investigadores de seguridad señalaron salidas sospechosas de sus hot wallets en Ethereum, BNB Chain y Tron. Las estimaciones iniciales situaron las pérdidas en $4.2 millones. Análisis posteriores que añadieron actividad de Bitcoin y Solana elevaron la cifra a unos $5.9 millones. El cofundador Joe la situó en aproximadamente $7 millones, más alto que cualquier estimación externa.
SlowMist clasificó la causa raíz como un compromiso de clave privada de hot wallet en lugar de un bug de protocolo. Duelbits tiró el sitio, dijo que los fondos de los usuarios estaban seguros y relanzó el 27 de septiembre con depósitos y retiros activos de nuevo. La declaración de relanzamiento afirmó aproximadamente $8 millones entre hot y cold wallets. Para el 8 de octubre, el operador ofrecía públicamente una recompensa al sospechoso de tener los fondos para que los devolviera.
Esta no fue la primera vez de Duelbits. En febrero de 2024, CertiK reportó que se habían tomado aproximadamente $4.6 millones de las mismas hot wallets del casino... Dos drenajes de tamaño similar en menos de tres años no es mala suerte... es un problema de arquitectura.
Cómo se comparan los hackeos a casinos de 2026 con los anteriores
La investigación de CryptoCasino.Vegas compiló los principales incidentes de hot wallets reportados públicamente en casinos cripto y sus procesadores de pago en una sola vista. Las cifras usan el rango entre las declaraciones de los operadores y las estimaciones on-chain cuando no coinciden. Mira,
| Plataforma | Fecha | Pérdida reportada | Tipo de ataque | Tiempo de inactividad |
|---|---|---|---|---|
| Stake | Septiembre 2023 | Alrededor de $41 millones | Claves de hot wallet, atribuido por el FBI al Grupo Lazarus de Corea del Norte | Horas (retiros pausados) |
| Duelbits | Febrero 2024 | Alrededor de $4.6 millones | Compromiso de hot wallet | No detallado públicamente |
| Duelbits | 24 de septiembre de 2026 | $4.2 millones a $7 millones | Sospecha de compromiso de clave privada | Alrededor de 3 días |
| Gamdom | 13 de octubre de 2026 | $3 millones a $4.2 millones | Acceso no autorizado al servidor de automatización de retiros | Alrededor de 2 días |
El mercado más amplio no es tranquilizador. TRM Labs contó 207 incidentes de robo cripto por valor de $972 millones en la primera mitad de 2026, y encontró que los compromisos de infraestructura y operativos representaron aproximadamente el 76% de los fondos robados. CertiK reportó pérdidas de $1.28 mil millones en el tercer trimestre de 2026, un 56.2% más que el trimestre anterior, con $773.4 millones perdidos solo en septiembre. Los casinos son simplemente otra clase de operador que ejecuta wallets grandes y siempre online.
¿Están tus fondos seguros si hackean un casino cripto?
"Los fondos de los usuarios están seguros" significa algo más estrecho de lo que suena. Los saldos de los jugadores en un casino custodial son una entrada de base de datos. Las monedas detrás de ellos están en wallets del operador, mezcladas. Cuando se drena una hot wallet, el saldo de ningún jugador individual cambia. El operador absorbe el agujero de su propia tesorería y sigue honrando retiros, siempre que pueda.
Francamente, esa condición lo es todo. Un casino con profundas reservas en cold storage puede comerse una pérdida de $4 millones y seguir. Un operador más delgado podría ralentizar silenciosamente los retiros durante meses mientras reconstruye liquidez. Desde fuera, los dos se ven idénticos hasta que intentas cobrar... Los rastreadores de wallets registraron aproximadamente $10.5 millones en las hot wallets monitoreadas de Gamdom el 12 de octubre y unos $76,000 al día siguiente. Eso no prueba el tamaño del robo, pero muestra cuánto puede haber en hot storage en un operador grande en un día normal.
Y el tiempo de inactividad es un costo real incluso cuando no se pierde nada... Durante dos o tres días, los jugadores de ambos casinos no pudieron retirar nada. Si tenías un saldo grande y una razón para moverlo, esa ventana no fue tu elección.
Qué deben hacer ahora los jugadores de casinos cripto
Trata el saldo de un casino como temporal. El saldo más seguro en un casino cripto es el que retiraste después de tu sesión. Las hot wallets existen para que los pagos sean rápidos. Usa esa velocidad.
Observa cómo hablan los operadores después de un incidente. Un post mortem publicado, direcciones de reservas y una cifra clara de pérdida son buenas señales. Un bono de relanzamiento sin explicación técnica no lo es.
Pide prueba de reservas antes de aparcar tamaño... Muy pocos casinos cripto publican direcciones de wallets o instantáneas de saldos. Los que lo hacen te dan algo que verificar. El resto te da una promesa.
No cuentes con las congelaciones de stablecoins. El atacante de Gamdom estaba en DAI en minutos. Las stablecoins congelables protegen más a los emisores que a ti. Además, los retiros automatizados necesitan una hot wallet por definición... CryptoCasino.Vegas también ejecuta pagos automáticos instantáneos, que es exactamente por qué la pregunta útil para cualquier operador no es si existe una hot wallet... sino cuánto poco hay en ella en un momento dado y qué tan rápido se puede cortar la automatización. Gamdom y Duelbits descubrieron la respuesta de la manera costosa... los jugadores no deberían tener que descubrirlo de la misma manera.
