El punto ciego de las wallets modulares: permisos que nadie vuelve a revisar
Un wallet Safe perdió USD 7,7 millones sin una sola firma: el fallo no estuvo en las claves, sino en un módulo autorizado hace tiempo.
El atacante no necesitó firmas de los propietarios de la wallet
Un bot MEV llamado Yoink interceptó los fondos antes que el atacante
El 15 de septiembre un atacante drenó cerca de 2.900 rsETH —unos USD 7,7 millones— de una wallet Safe en Ethereum, sin que ninguno de sus propietarios firmara una sola transacción.
La firma de seguridad Blockaid detectó el incidente en tiempo real. Antes de que el atacante pudiera moverlos, un bot MEV conocido como Yoink ejecutó una transacción propia en el mismo bloque y se quedó con los fondos.
El caso invita a una lectura que va más allá del monto robado. La pregunta relevante no es cómo entró el atacante, sino por qué una wallet diseñada para exigir múltiples firmas terminó ejecutando una operación que ningún propietario aprobó. La respuesta obliga a repensar qué significa realmente estar seguro.
Una wallet Safe multifirma exige, por diseño, que un número mínimo de propietarios apruebe cada operación. Pero Safe permite agregar «módulos»: contratos externos a los que se les otorga permiso permanente para ejecutar ciertas acciones, sin pasar por ese proceso de firma cada vez. Es equivalente a entregarle a un proveedor de confianza una llave que abre una puerta específica de la casa de forma indefinida, para no tener que abrirle personalmente cada visita.
En este caso, la wallet tenía habilitado un módulo de contrato inteligente —un contrato «Multicall»— para gestionar posiciones de liquidez en Uniswap v4. Ese contrato tenía un error de verificación de autorización: trataba como legítima cualquier llamada que apuntara de vuelta a su propia dirección.
Esa falla fue justamente la que convirtió un componente de confianza en una puerta abierta
#news $BTC $ZEC $SPCXB
Un wallet Safe perdió USD 7,7 millones sin una sola firma: el fallo no estuvo en las claves, sino en un módulo autorizado hace tiempo.
El atacante no necesitó firmas de los propietarios de la wallet
Un bot MEV llamado Yoink interceptó los fondos antes que el atacante
El 15 de septiembre un atacante drenó cerca de 2.900 rsETH —unos USD 7,7 millones— de una wallet Safe en Ethereum, sin que ninguno de sus propietarios firmara una sola transacción.
La firma de seguridad Blockaid detectó el incidente en tiempo real. Antes de que el atacante pudiera moverlos, un bot MEV conocido como Yoink ejecutó una transacción propia en el mismo bloque y se quedó con los fondos.
El caso invita a una lectura que va más allá del monto robado. La pregunta relevante no es cómo entró el atacante, sino por qué una wallet diseñada para exigir múltiples firmas terminó ejecutando una operación que ningún propietario aprobó. La respuesta obliga a repensar qué significa realmente estar seguro.
Una wallet Safe multifirma exige, por diseño, que un número mínimo de propietarios apruebe cada operación. Pero Safe permite agregar «módulos»: contratos externos a los que se les otorga permiso permanente para ejecutar ciertas acciones, sin pasar por ese proceso de firma cada vez. Es equivalente a entregarle a un proveedor de confianza una llave que abre una puerta específica de la casa de forma indefinida, para no tener que abrirle personalmente cada visita.
En este caso, la wallet tenía habilitado un módulo de contrato inteligente —un contrato «Multicall»— para gestionar posiciones de liquidez en Uniswap v4. Ese contrato tenía un error de verificación de autorización: trataba como legítima cualquier llamada que apuntara de vuelta a su propia dirección.
Esa falla fue justamente la que convirtió un componente de confianza en una puerta abierta
#news $BTC $ZEC $SPCXB
