10 incidentes conocidos de seguridad DeFi y puentes de 2021–2022

Estos diez incidentes históricos muestran distintos riesgos de DeFi, los puentes entre cadenas y los servicios de criptoactivos. DeFi significa finanzas descentralizadas e incluye negociación, préstamos y liquidez. La descentralización no garantiza privacidad, seguridad ni rentabilidad. No todas las empresas citadas son protocolos descentralizados.

El crecimiento reveló fallos en contratos, gestión de claves, gobernanza e interfaces web. Esta selección trata episodios conocidos de 2021–2022, no una clasificación actual de los mayores ataques. Los importes en dólares son estimaciones históricas: activos robados, fondos expuestos y pérdidas definitivas son medidas diferentes.

1. Ronin Network — unos 625 millones de dólares

El puente Ronin fue atacado el 23 de marzo de 2022; el descubrimiento se anunció el 29 de marzo. La valoración histórica rondaba los 625 millones de dólares. El puente conectaba Ronin con Ethereum y servía, entre otros usos, para activos de jugadores de Axie Infinity.

Axie Infinity es un juego blockchain en el que se coleccionan, crían y hacen combatir criaturas digitales. Sus características pueden influir en la escasez, pero no garantizan recompensas ni valor de mercado.

El atacante controló las facultades de cinco de los nueve validadores y firmó retiradas ilícitas de 173.600 ETH y 25,5 millones de USDC. Sky Mavis repuso posteriormente fondos de usuarios, algo diferente de recuperar lo robado. En septiembre de 2022, Chainalysis informó de que más de 30 millones de dólares del botín habían sido incautados. Por tanto, era incorrecto afirmar que no se había recuperado nada.

2. Poly Network — unos 610 millones de dólares

El 10 de agosto de 2021 se sustrajeron a Poly Network unos 610 millones de dólares en Ethereum, BNB Smart Chain y Polygon. El análisis técnico de SlowMist mostró un abuso de llamadas entre contratos para sustituir al keeper de confianza. No fue un robo de claves privadas de validadores como en Ronin.

Durante la recuperación, un gran saldo permaneció temporalmente en una cartera multifirma que requería cooperación del proyecto y del atacante. Poly Network ofreció 500.000 dólares y habló de no perseguir al responsable, pero no podía garantizar inmunidad frente a las autoridades. La afirmación de que 268 millones seguían bloqueados no describía el desenlace.

El 23 de agosto, Poly Network declaró que el control de los activos restantes había sido restablecido. Tether también envió unos 33,43 millones de USDT congelados a la cartera designada el 25 de agosto. El día 26, el proyecto anunció la recuperación de todos los activos afectados. Los 33 millones no estaban simplemente desaparecidos. El atacante alegó haber actuado por diversión; era su propia explicación.

3. Wormhole Bridge — unos 325 millones de dólares

Wormhole transmite mensajes y tokens entre blockchains. Un token envuelto representa activos en otra cadena y depende de verificaciones correctas y cobertura suficiente.

En este incidente del 2 de febrero de 2022 se eludió la verificación del lado Solana. El atacante creó 120.000 wETH sin cobertura, no solo 93.750. De ellos, 93.750 se canjearon por ETH en Ethereum mediante el puente. Jump Crypto aportó 120.000 ETH para reponer las reservas; no fue una devolución del atacante.

4. Nomad Bridge — unos 186–190 millones de dólares

El 1 de agosto de 2022, un cambio contractual de Nomad había dejado un fallo de autenticación que admitía mensajes inválidos. Las retiradas no necesitaban depósitos correspondientes. No era una nueva vía de préstamo creada por los atacantes.

El método se podía copiar fácilmente. Nomad informó de más de 300 direcciones participantes y publicó datos de direcciones y transacciones para investigar. Las direcciones no son necesariamente personas diferentes. El equipo solicitó devoluciones y creó una cartera de recuperación y un programa de recompensas.

El 17 de agosto de 2022, Nomad comunicó que habían vuelto más de 37 millones de dólares, alrededor del 20%. El dato fechado es más preciso que una afirmación indefinida de más de 30 millones devueltos y todo lo demás todavía desaparecido. Las devoluciones voluntarias acompañaron a las investigaciones posteriores.

5. Beanstalk Farms — unos 182 millones de impacto, 77 millones en activos no Bean robados

Beanstalk es un protocolo de moneda estable basado en crédito. Buscaba sostener el precio objetivo de Bean mediante incentivos a prestamistas, no una reserva habitual de un dólar por token. Las monedas estables algorítmicas tienen diseños diferentes y no usan todas las mismas reservas digitales.

El 17 de abril de 2022, el atacante usó un préstamo instantáneo para obtener suficientes votos y ejecutar una propuesta maliciosa que transfería activos del protocolo. El impacto de unos 182 millones de dólares citado habitualmente no era su beneficio neto. Beanstalk declaró el robo de unos 77 millones en activos distintos de Bean.

Una transferencia menor, de unos 250.000 dólares, fue a una dirección de donaciones para Ucrania. Era falso que el atacante conservara unos 70 millones y donara a refugiados todo el resto de los 182 millones. La devolución de préstamos instantáneos y la diferencia entre impacto bruto y beneficio neto no constituían una enorme donación benéfica.

6. Wintermute — unos 160 millones de dólares

Wintermute es un creador de mercado de criptoactivos. El 20 de septiembre de 2022 se sustrajeron unos 160 millones de dólares de sus operaciones DeFi. El episodio se vinculó a una dirección personalizada creada con Profanity y a una generación de claves débil. Vanity wallet no era el nombre de un producto de custodia para todos los clientes.

Guardar claves sin conexión puede limitar la exposición a ataques en línea, por ejemplo mediante separación física de la red. Sin embargo, el almacenamiento en frío no soluciona todos los fallos contractuales o permisos maliciosos de tokens. La generación segura de claves, los privilegios limitados y la gestión de carteras operativas siguen siendo necesarios.

7. Compound — distribución errónea de COMP, no pérdida neta probada de 150 millones

Compound es un protocolo de préstamo que continuó tras el incidente. El 29 de septiembre de 2021, la propuesta 62 introdujo un error en el cálculo de recompensas COMP. El fallo, a veces descrito como un grifo que gotea, distribuía demasiado COMP existente; no acuñaba tokens nuevos sin límite.

Los 280.000 COMP inicialmente citados eran recompensas disponibles en el contrato Comptroller, no un fondo de liquidez creado por hackers. Posteriormente podía llegar más COMP del Reservoir. La corrección requería propuestas de gobernanza y plazos, por lo que no podía aplicarse de inmediato.

El 14 de octubre, Compound informó de 163.000 COMP reclamados erróneamente y devueltos, 130.000 conservados en Comptroller y unos 200.000 mal distribuidos todavía fuera. La propuesta 64 corrigió el fallo el 8 de octubre; hacía falta otra para ajustes contables pendientes. Se trataba de recompensas, no de un robo documentado de 150 millones de los depósitos. Los datos tampoco prueban que se recuperara más de la mitad de un total fijo.

8. Vulcan Forged — unos 140 millones de dólares

El ataque de diciembre de 2021 a Vulcan Forged afectó a carteras de jugadores. La plataforma ofrece juegos blockchain y un mercado NFT. Usar tokens en otras aplicaciones no garantiza mejores rendimientos.

Según Venly, se comprometieron servidores de Vulcan Forged y se abusó de PIN y credenciales de empresa para exportar al menos 96 carteras. Venly declaró que sus servidores no habían sido atacados. El PYR robado se valoró entonces en unos 140 millones de dólares. El 13 de diciembre, Venly dijo que Vulcan Forged había repuesto la mayoría con su tesorería, no que todos los daños se hubieran pagado inmediatamente.

9. BadgerDAO — unos 120 millones de dólares

El ataque del 2 de diciembre de 2021 provocó pérdidas estimadas entonces en unos 120 millones de dólares, incluidos tokens ligados a Bitcoin y ETH. La lista original citaba unos 2.100 BTC y 151 ETH. El importe Bitcoin representaba tokens o valor en bitcoin, no BTC nativo dentro de un contrato Ethereum. BadgerDAO ofrecía productos DeFi orientados a Bitcoin; se atacó la interfaz web.

Código malicioso indujo a usuarios a firmar permisos de tokens no deseados. El informe técnico describió abuso de una clave API Cloudflare del entorno Badger, no una intrusión probada en toda Cloudflare. Posteriormente, el sitio del proyecto describió la retirada de productos vault existentes. Era un cambio separado, no prueba de que todos los contratos cesaran durante el ataque.

10. Horizon Bridge — unos 100 millones de dólares

El ataque a Horizon Bridge ocurrió el 23 de junio de 2022 y se anunció el día 24. Se sustrajeron unos 100 millones de dólares del lado Ethereum. Harmony limitó operaciones e inició investigaciones con socios de seguridad y autoridades.

Claves privadas comprometidas permitieron firmas no autorizadas. El umbral inicial era dos de cinco firmantes, no dos de cuatro. Harmony informó después de un aumento a cuatro de cinco. Antes del ataque ya se habían expresado públicamente preocupaciones por el umbral bajo. La seguridad multifirma depende del umbral y de la gestión independiente y segura de claves.

Lecciones de los incidentes

La tecnología nueva no elimina fraudes y ataques. Estos casos muestran problemas distintos en gobernanza con votos obtenidos a crédito, lógica contractual, claves e interfaces web. Las investigaciones y la recuperación pueden ayudar, pero un ataque anterior no garantiza prevención en otras plataformas ni indemnización a las víctimas.