Ataques a criptomonedas y DeFi en abril: Yearn, bots MEV y recuperación de fondos de Euler y Sushi

PeckShield informó el jueves 13 de abril de un ataque que utilizó un antiguo contrato de Yearn Finance. Una configuración incorrecta de yUSDT permitió acuñar una enorme cantidad de tokens a partir de 10.000 USDT. Aave v1 se utilizó en las transacciones, pero la vulnerabilidad no se originó en el protocolo Aave.

Un antiguo contrato de Yearn Finance involucrado en el ataque

La evaluación inicial de PeckShield indicaba que la configuración incorrecta permitió acuñar grandes cantidades de yUSDT y sustraer aproximadamente 11 millones de dólares en DAI, USDT, USDC, BUSD y TrueUSD (TUSD). Marc Zeller, responsable de integraciones de Aave, aclaró que se había utilizado Aave v1, congelada desde diciembre de 2022; las versiones actuales de Aave no estaban afectadas. Yearn también publicó un aviso sobre el antiguo contrato.

“Estamos investigando un problema con iearn, un contrato obsoleto anterior a Vaults v1 y v2. Este problema parece exclusivo de iearn y no afecta a los contratos o protocolos actuales de Yearn. iearn es un contrato inmutable anterior a YFI, fue descontinuado en 2020. Vaults v1, con estrategias actualizables, también fue descontinuado en 2021. No hay indicios de que esté afectado. La versión actual v2 de Vaults también permanece sin afectaciones.”

Las transacciones tuvieron un efecto inesperado: se pagó la deuda en USDT de un usuario de Aave, según los registros en cadena . OtterSec y otros equipos vinculados a Aave colaboraron en el análisis del ataque. La plataforma de seguimiento DeFi Nansen señaló que los fondos se habían enviado a tres direcciones. Los datos de la cadena muestran un depósito de 1.000 ETH en Tornado Cash, posiblemente para dificultar su rastreo. Otra cartera recibió más de 4,7 millones de DAI y 2,5 millones de USDC. El incidente se suma a las vulneraciones de seguridad notificadas en las finanzas descentralizadas durante 2023.

Pérdidas estimadas de 452 millones de dólares por hackeos y estafas en el primer trimestre; se recuperó el 29%

Según Chainalysis, los protocolos DeFi concentraron el 82,1% de los 3.800 millones de dólares en criptomonedas robados mediante hackeos en 2022. En su informe del primer trimestre de 2023, De.Fi estimó las pérdidas por hackeos y estafas en 452 millones de dólares, frente a unos 1.300 millones en el mismo período del año anterior. Casi la mitad de las pérdidas trimestrales se produjo en las tres primeras semanas de marzo. El ataque a Euler Finance del 13 de marzo, estimado en 197 millones de dólares, fue el mayor. Completaron los cinco principales casos el valor de 120 millones atribuido al ataque a BonqDAO/AllianceBlock de febrero, la presunta estafa de inversión CoinDeal de 45 millones, la operación de phishing Monkey Drainer de 16,5 millones y el ataque con préstamo flash a Platypus Finance de 8,5 millones.

Los atacantes apuntan a los principiantes que temen perder una oportunidad

De.Fi registró 17 incidentes relacionados con vulnerabilidades de contratos inteligentes y ocho rug pulls, en los que los operadores abandonan el proyecto tras llevarse los fondos. Los ataques con préstamos flash contribuyeron a pérdidas estimadas de 200 millones de dólares. Los nuevos tokens, fáciles de lanzar, pueden atraer a principiantes que temen perder una oportunidad. Las plataformas de préstamos registraron cinco incidentes con pérdidas totales de 336 millones de dólares. BNB Chain fue la red más afectada por número de incidentes, con 18. Se recuperaron aproximadamente 130 millones de dólares, el 29% de las pérdidas, frente al 40% de unos 1.290 millones en el primer trimestre de 2022.

Una vulnerabilidad en la función de quema de SafeMoon

El 28 de marzo se aprovechó una función pública de quema introducida en una actualización de SafeMoon, que permitía destruir tokens del fondo de liquidez sin restricciones de acceso adecuadas. Según los primeros informes, se sustrajeron aproximadamente 27.000 BNB del fondo SFM/WBNB. La dirección que obtuvo los fondos dejó un mensaje en el que afirmaba haberse adelantado accidentalmente a otro ataque: «Tranquilos, nos hemos adelantado accidentalmente a un ataque contra ustedes. Queremos devolver los fondos; establezcamos un canal de comunicación seguro y hablemos.» SafeMoon anunció la semana anterior que se había reanudado la negociación en su plataforma.

La actualización del 5 de abril también describió algunas mejoras de tokenómica y comunicó que se había desplegado una interfaz SWaP actualizada.

“Continuamos trabajando en la recuperación de los fondos del LP […] Hemos logrado un gran progreso y seguimos trabajando arduamente para volver a la normalidad para todos nuestros usuarios,” dijo SafeMoon en la comunicación más reciente de esta semana.

Brechas de seguridad DeFi en abril

A principios de abril también sufrió un ataque el puente multicadena Allbridge, notificado el 2 de abril. El actor manipuló los precios de sus fondos de liquidez en BNB Chain actuando tanto como proveedor de liquidez como usuario que realizaba intercambios.

Ataque al protocolo entre cadenas Allbridge

CertiK estimó la pérdida en 549.874 dólares, mientras que PeckShield la situó en unos 573.000: 282.889 en BUSD y 290.868 en USDT. Allbridge declaró que colaboraba con sus socios y la comunidad para identificar al responsable. Ofreció una recompensa y prometió no emprender acciones legales si los fondos se devolvían mediante un acuerdo de recuperación de buena fe, o white hat.

Se devolvieron 1.500 BNB

Un atacante devolvió 1.500 BNB, valorados entonces en unos 465.000 dólares. Se convirtieron en BUSD para los usuarios afectados, y Allbridge consideró una recompensa los fondos que conservó el actor. El equipo también notificó un segundo atacante que había usado la misma técnica y todavía no se había puesto en contacto. Publicó una dirección con un saldo restante de 0,97 BNB, unos 302,50 dólares. El martes Allbridge comunicó que había completado el primer ciclo de pagos para las solicitudes de recuperación presentadas hasta el 9 de abril e instó a los usuarios con asuntos pendientes a seguir el procedimiento de compensación.

Las consecuencias del ataque a SushiSwap

El domingo 9 de abril PeckShield notificó una vulnerabilidad de SushiSwap que había causado una pérdida de aproximadamente 3,3 millones de dólares al usuario conocido como 0xSifu. La firma de seguridad y Jared Grey, Head Chef de Sushi, pidieron a los afectados revocar los permisos de gasto de tokens en todas las redes implicadas. La vulnerabilidad afectaba a RouteProcessor2, un contrato para dirigir los intercambios, y estaba relacionada con las autorizaciones concedidas. Los primeros avisos se dirigían especialmente a quienes habían utilizado el router afectado en los días anteriores.

En riesgo los tokens con permisos concedidos al contrato vulnerable

El permiso permitía al contrato gastar tokens; la vulnerabilidad hizo posible sustraer fondos mediante transferencias que sus propietarios no habían querido realizar. Según el análisis comunicado por Brad Kay de The Block Research, un primer actor, considerado un white hat, utilizó la función «yoink» para retirar y poner a salvo 100 ETH. Otro actor empleó «notyoink» y sustrajo aproximadamente 1.800 ETH.

Esfuerzos de recuperación

Grey informó de que se habían recuperado más de 300 ETH de los fondos perdidos por 0xSifu y de que continuaban los esfuerzos para recuperar otros 700 ETH. El CTO Matthew Lilley pidió a los usuarios revisar y revocar los permisos peligrosos. También explicó que RouteProcessor2 se había desactivado en la interfaz para evitar que los nuevos intercambios y operaciones de liquidez quedaran expuestos al router afectado.

Planes de reembolso para los usuarios afectados

El jefe de Sushi declaró en Discord que el equipo planeaba abrir un sitio para reclamar los tokens sujetos a un calendario de adquisición de derechos en Merkle Distributor. Era un programa distinto de los reembolsos por el ataque. Su fecha límite era el 23 de abril; después, los SUSHI no reclamados pasarían a la tesorería. En un posterior anuncio del miércoles, SushiSwap indicó que planeaba reembolsar a los usuarios afectados.

«Si sus fondos están en el contrato white hat aquí indicado, significa que los expertos en seguridad los han puesto a salvo y que pronto podrán reclamarlos. Si no están en ese contrato, deben enviar un correo o abrir una solicitud de soporte en nuestro Discord, incluyendo el identificador de la transacción y la blockchain de los fondos perdidos. Las solicitudes de fondos en manos de los black hats tardarán más, porque el equipo tendrá que comprobar manualmente su legitimidad mediante los datos de la cadena antes de pagar», tuiteó SushiSwap.

Ataque contra bots MEV en Ethereum

El 3 de abril un validador malicioso sustrajo aproximadamente 25 millones de dólares a varios bots MEV de Ethereum. MEV es el valor que puede obtenerse mediante la selección y ordenación de transacciones en un bloque. Entre quienes lo aprovechan figuran los bots de arbitraje y los que realizan ataques sándwich.

Esto es lo que ocurrió

Según CertiK, se aprovecharon ocho transacciones de cinco bots en el bloque Ethereum 16964664. En un ataque sándwich, el bot compra antes de la transacción objetivo y vende después para beneficiarse del cambio de precio. El validador malicioso obtuvo información sobre las transacciones y produjo otro bloque con un orden diferente, aprovechándose de los bots en lugar de permitir que completaran sus estrategias.

En total se sustrajeron 25,39 millones de dólares, con un desglose publicado por la firma de seguridad: 64,9 WBTC, 7.460,8 WETH, 5.297.649,9 USDC, 3.027.396 USDT y 1.698.384 DAI. Al redactarse el informe, los fondos se concentraban principalmente en tres carteras. CertiK lo calificó como uno de los mayores ataques contra bots MEV; otro caso importante ocurrió en septiembre de 2022, cuando una vulnerabilidad de un bot permitió robar 800 ETH obtenidos mediante arbitraje MEV.

OtterSec describió el ataque como premeditado, ya que el actor había preparado los fondos semanas antes. Según CertiK, el validador se había creado el 15 de marzo. La vulnerabilidad técnica estaba en el relay, que reveló el contenido del bloque antes de comprobar que la red aceptaría el bloque firmado.

Flashbots corrigió el relay

Flashbots modificó el relay de MEV-Boost para evitar que se repitiera el ataque. Con el cambio, el relay transmite primero a la red el bloque firmado por el proponente y solo le revela el contenido completo si esa operación tiene éxito. Se busca impedir que el proponente obtenga los detalles y después publique un bloque alternativo con las transacciones reordenadas. CertiK también observó en una entrevista que los buscadores de MEV podrían adoptar más cautela con estrategias no atómicas, como las operaciones sándwich, que habían sido el objetivo del ataque.

Congelados los USDT de una dirección vinculada al ataque MEV

El 10 de abril un servicio de seguimiento de direcciones USDT incluidas en la lista negra informó del bloqueo de la dirección denominada «Sandwich the Ripper», vinculada al ataque MEV. Contenía aproximadamente tres millones de USDT que ya no podían transferirse. Según los informes de entonces, otros fondos sustraídos, incluidos 14,3 millones de dólares en WETH y más de 3,6 millones en otros activos, permanecían en las direcciones del actor. La decisión recibió críticas de quienes creen que establece un mal precedente para el sector. Los críticos consideran que la capacidad de Tether para bloquear transferencias constituye un poder centralizado y expresaron preocupaciones sobre el posible abuso de ese poder y sus implicaciones para la DeFi.

Euler abre las solicitudes para recuperar los fondos devueltos

El 4 de abril Euler Foundation confirmó que la última parte de los fondos recuperables del ataque del 13 de marzo se había devuelto el 3 de abril. El ataque se valoró inicialmente en unos 197 millones de dólares. La fundación dio por terminado el programa de recompensa de un millón de dólares por información sobre el atacante. Según el seguimiento previo de Arkham Intelligence, entre los últimos envíos figuraban 10.580 ETH, valorados en unos 19 millones de dólares, y 12 millones de DAI en tres transacciones.

Tras el ataque del 13 de marzo, Euler había ofrecido permitir al atacante conservar el 10% de los fondos, unos 19,7 millones de dólares, a cambio de devolver el 90% restante. También había ofrecido un millón de dólares por información útil para identificarlo si no devolvía los fondos. Las devoluciones comenzaron el 18 de marzo con 3.000 ETH, valorados entonces en unos 5,4 millones de dólares. Entre las posteriores devoluciones importantes figuraron los 58.737 ETH comunicados, aproximadamente 102 millones de dólares, enviados en transferencias del 25 de marzo. El actor pidió disculpas mediante mensajes en la cadena y prometió devolver lo restante.

Según el plan final de Euler del 12 de abril, se habían devuelto a la tesorería 95.556,36 ETH y 43.063.729,35 DAI. Quedaban fuera del importe recuperado 1.100 ETH enviados a Tornado Cash y 100 ETH transferidos a una dirección vinculada al atacante de Ronin.

El protocolo abrió el procedimiento para que los usuarios afectados reclamaran los fondos devueltos. Nexus Mutual había pagado unos 2,4 millones de dólares en indemnizaciones a sus asegurados. Según las condiciones de las solicitudes, quienes hubieran cobrado debían devolver a la mutualidad los reembolsos correspondientes que recibieran de Euler.

Otros incidentes reportados de brechas de seguridad

El proyecto de metaverso MetaPoint notificó un ataque en el que se sustrajeron 2.515 BNB. Según PeckShield, los fondos se enviaron a Tornado Cash. El proyecto confirmó el incidente en Telegram, añadiendo que había suspendido todas sus operaciones.

El 10 de abril también se notificó una vulneración de la cartera de liquidez de Terraport Finance, unas dos semanas después de su lanzamiento. La primera estimación de las pérdidas fue de unos dos millones de dólares. Terraport declaró en una actualización que estaba al tanto del incidente y que investigaba el problema tras adoptar medidas para proteger la plataforma.

Fuera de DeFi, el exchange surcoreano GDAC informó de un ataque de casi 14 millones de dólares. Suspendió depósitos y retiradas durante las investigaciones y reparaciones. El CEO Han Seunghwan explicó que las pérdidas representaban algo más del 20% de los activos custodiados para los clientes. Algunas carteras calientes habrían quedado comprometidas el 9 de abril, hora de Corea, antes de que los fondos se enviaran a las direcciones del atacante. Las pérdidas notificadas incluían unos 61 BTC, 350,5 ETH, 220.000 USDT y 10 millones de WEMIX.

Las retiradas seguían suspendidas al redactarse el informe. Seunghwan declaró que el exchange estaba centrado en la investigación y todavía no había fijado una fecha para restablecer los servicios. Fue uno de los grandes ataques a exchanges centralizados notificados en 2023, más de un año después del ataque a Crypto.com de enero de 2022, cuyas primeras pérdidas comunicadas superaban 15 millones de dólares.

Huobi y Gala Games: un plan de compensación pGALA de hasta 50 millones de dólares

El 3 de abril Gala Games y Huobi, el exchange también conocido como HTX, anunciaron un plan para distribuir criptomonedas y licencias de software con un valor estimado de hasta 50 millones de dólares a los usuarios de Huobi afectados por el incidente pGALA de noviembre de 2022. El anuncio siguió a su colaboración para desarrollar el ecosistema Web3 del exchange.

Huobi aportaría 25 millones de dólares en dinero y beneficios para los usuarios: 15 millones de USDT y beneficios adicionales por un valor equivalente a 10 millones de dólares. Gala Games proporcionaría licencias de nodos valoradas en 25 millones de dólares. El programa debía comenzar durante la semana del anuncio.

El incidente del 3 de noviembre de 2022 afectó a pGALA, la versión de GALA emitida por pNetwork en BNB Chain. pNetwork reconoció haber acuñado grandes cantidades de tokens y retirado liquidez de PancakeSwap en lo que describió como una operación white hat para prevenir un posible robo. Según su propio informe, obtuvo del fondo 12.977 BNB, valorados entonces en unos 4,6 millones de dólares. Gala y Huobi cuestionaron la gestión del incidente.

Gala presentó una demanda contra pNetwork

El 20 de marzo Gala anunció una demanda contra pNetwork por negligencia e interferencia en sus expectativas de relaciones comerciales. Según Gala, no se había corregido la configuración incorrecta y se había creado la apariencia de un hackeo de mil millones de dólares, perjudicando al mercado de GALA. Los informes sobre la demanda recogían una estimación de daños de 25 millones de dólares y una reclamación de 27,7 millones, incluidos costes, indemnizaciones adicionales y daños punitivos. Gala invitó a otras partes afectadas a contactar con su equipo jurídico; Huobi manifestó su apoyo a la iniciativa. Según el plan, las indemnizaciones que pudieran concederse, descontados los costes legales, se convertirían en GALA y los tokens se quemarían.