El 29 de abril de 2026 ocurrió un ataque informático que demuestra que una billetera puede estar perfectamente protegida y, aun así, sus criptomonedas quedar expuestas por un error que está fuera del control del usuario....
El objetivo fue SWEAT, una criptomoneda vinculada con Sweat Economy, un proyecto que recompensa la actividad física y funciona sobre la blockchain NEAR.
Los atacantes consiguieron extraer aproximadamente 13.710 millones de tokens SWEAT, equivalentes a unos 3,5 millones de dólares según las estimaciones publicadas entonces.
Lo extraordinario es cómo lo hicieron....
NO NECESITARON ENTRAR EN LAS BILLETERAS. ATACARON EL PROGRAMA QUE ADMINISTRABA LAS MONEDAS.
Para entenderlo, imaginá que enviás 100 criptomonedas a un servicio, pero una falla impide que ese servicio las reciba correctamente.
En determinadas operaciones, el sistema tiene un mecanismo automático para devolver las monedas que no pudieron utilizarse. Es una función legítima, diseñada para evitar que los fondos queden atrapados por una transferencia incompleta.
En SWEAT, ese mecanismo formaba parte de un contrato inteligente, es decir, un programa informático que ejecuta las reglas del token dentro de la blockchain.
Y ahí estaba la vulnerabilidad.
La función encargada de resolver esas devoluciones, llamada "ft_resolve_transfer", carecía de una comprobación fundamental: verificar que solamente el propio contrato pudiera ejecutarla.
Era como tener un sistema bancario donde existe un botón para devolver dinero, pero nadie comprueba adecuadamente quién tiene permitido presionarlo....
Entonces... el atacante preparó otro contrato inteligente que aprovechaba esa falla.
Primero generaba una respuesta vacía, que el programa vulnerable interpretaba como si los tokens enviados no hubieran sido utilizados.
Después invocaba directamente la función de devolución, indicando como destino una dirección bajo su control.
El contrato terminaba ejecutando una supuesta devolución que en realidad no correspondía....
¿El resultado? Los tokens salían del saldo de la víctima y terminaban en la dirección del atacante.
Todo ocurría mediante operaciones ejecutadas en la blockchain, sin que la persona afectada tuviera que intervenir.
Y EL ATAQUE FUE EXTRAORDINARIAMENTE RÁPIDO.
Según los investigadores que siguieron el incidente, varias cuentas importantes fueron vaciadas en aproximadamente 30 segundos.
El equipo de seguridad reaccionó deteniendo temporalmente el contrato afectado y coordinando medidas con plataformas donde el atacante intentaba intercambiar los tokens.
MEXC congeló una cuenta vinculada con el atacante y Rhea Finance suspendió temporalmente las operaciones con SWEAT.
Posteriormente se implementó una corrección de seguridad y el proyecto confirmó que los saldos de las cuentas externas de los usuarios habían sido restablecidos...
PERO LA INVESTIGACIÓN DESCUBRIÓ ALGO TODAVÍA MÁS PREOCUPANTE.
Fireblocks, empresa especializada en seguridad de activos digitales, analizó las operaciones y consiguió identificar la causa técnica en aproximadamente 20 minutos.
Después buscó el mismo error en otros contratos de la red NEAR.
Y lo encontró en HOT, otro token utilizado por millones de personas.
Sus investigadores notificaron a los responsables, que corrigieron la vulnerabilidad ese mismo día, antes de que se documentara una explotación equivalente.
🧠 Y ACÁ ESTÁ LO VERDADERAMENTE GRAVE.
Una función creada para proteger el dinero de los usuarios terminó convirtiéndose en el instrumento para sustraerlo.
No porque la tecnología criptográfica hubiera sido derrotada, sino porque el programa aceptaba instrucciones de alguien que jamás debió tener autorización para ejecutarlas....
A VECES, LA DISTANCIA ENTRE UN SISTEMA SEGURO Y MILLONES DE DÓLARES EN RIESGO NO ES UNA CONTRASEÑA ROBADA. ES UNA COMPROBACIÓN DE SEGURIDAD QUE ALGUIEN OLVIDÓ PROGRAMAR...
FUENTE:
https://www.fireblocks.com/blog/near-zero-day-sweat-hot-token-exploit
#SWEAT #NEAR #SweatEconomy #CryptoSecurity #Blockchain