Una cadena se detiene de un momento a otro: repaso del robo de 2,7 millones de dólares mediante acuñación ilimitada en Initia
El viernes pasado por la tarde, una blockchain pública pulsó su propio botón de pausa. En su cuenta oficial, Initia anunció que, debido a un incidente de seguridad, la cadena principal y los Rollups que funcionan sobre ella se habían detenido por completo a partir del 23 de octubre a las 15:41:30 UTC. La cadena quedó congelada en el bloque 23365925 y no se generaron más bloques. También se vieron afectados quienes no habían sufrido robos: los depósitos, los intercambios y las transferencias entre Rollups quedaron paralizados, y los fondos de las cuentas no se podían mover. La cifra de las pérdidas es secundaria; que la cadena se haya detenido ya es, de por sí, un incidente.
El método del ataque no fue complicado. El investigador de seguridad Spreek fue el primero en dar la voz de alarma públicamente: alguien estaba creando monedas de la nada y ya había convertido casi 2,6 millones de dólares en otros activos. Poco después, el cofundador de Initia, Ezaan Mangalji, ofreció una evaluación preliminar: un fallo de día cero en el entorno de ejecución MoveVM, presente desde el primer día, permitió al atacante saltarse el límite de acuñación y emitir directamente nuevos tokens en la cadena principal. El rastreo en cadena de D2 Finance completó el resto de la historia: el atacante habría acuñado unos 2 millones de tokens con forma de AUSD sin respaldo real, los habría transferido a Ethereum a través de un puente entre cadenas y, finalmente, habría reunido los fondos en una sola billetera: unos 1135,5 ETH, equivalentes a aproximadamente 2,73 millones de dólares según el precio de ese momento. La transacción solo costó 135888 unidades de Gas y llamó directamente a una función de Move. No se vulneraron los controles de seguridad del puente; el fallo estaba en el paso de acuñación.
Hay que distinguir tres aspectos. Primero, los 2,7 millones de dólares son una estimación preliminar del cofundador, complementada con el recuento en cadena de D2 Finance. El proyecto todavía no ha publicado una cifra final confirmada de las pérdidas ni una fecha para reanudar la actividad, así que sería precipitado tomar la cifra preliminar como definitiva. Segundo, el cofundador afirmó claramente que este fallo no afectaba al token nativo INIT: lo que se robó fueron los activos obtenidos al convertir los tokens acuñados. Decir que se infló la emisión del token nativo solo porque aparece el nombre INIT es atribuir el problema al activo equivocado. Tercero, Agora, la entidad detrás de AUSD, aclaró expresamente que no había desplegado ningún contrato en Initia. El AUSD de otras cadenas seguía funcionando con normalidad y estaba totalmente respaldado. Afirmar que se vulneró el contrato del emisor de AUSD también es incorrecto.
Los exchanges reaccionaron con rapidez. Upbit suspendió los depósitos y retiros de INIT el 23 de octubre a las 15:57, aunque las operaciones dentro de la plataforma continuaron con normalidad. Solo pasaron 16 minutos entre la paralización de la cadena y el cierre de los depósitos por parte de un gran exchange. La velocidad a la que se difundió la noticia superó con creces la de cualquier reacción manual. INIT cayó alrededor de un 14 % ese día. La primera reacción del mercado fue el miedo, pero lo que suele determinar si acabas perdiendo dinero es si puedes mover tus fondos en ese momento.
Este incidente deja tres consejos prácticos para los pequeños inversores. La paralización de una cadena es un riesgo independiente: que no hayan robado tus monedas no significa que puedas moverlas. En general, es más prudente tener parte de los fondos en una billetera que controles tú que apostarlo todo al ecosistema de una sola cadena. Los límites de acuñación y el respaldo colateral son dos de las preguntas más importantes que conviene hacer al evaluar un proyecto: ¿se pueden imprimir más tokens de la nada? ¿Hay activos reales que respalden lo que se imprime? Si un proyecto no aclara estos dos puntos, por muy fluido que sea el puente, solo hará que sea más rápido convertir en dinero lo que se acuñó. Y ante los supuestos mensajes sobre reembolsos o restablecimiento del servicio que aparecen el día de un incidente, lo mejor es desconfiar de entrada. La propia Initia advirtió a los usuarios en su comunicado que tuvieran cuidado con los enlaces no oficiales. Los atajos que aparecen durante una interrupción suelen estar dirigidos a quienes actúan con prisa.
Mi opinión es muy directa: la lección de este incidente no está en lo grande que sea la cifra de 2,7 millones de dólares, sino en que un fallo en el proceso de acuñación puede hacer que una cadena pase de funcionar con normalidad a congelarse por completo en solo 16 minutos. Los pequeños inversores no pueden protegerse de un fallo de día cero, pero sí pueden evitar poner todo su patrimonio en un único punto de fallo y hacer clic a la ligera en enlaces durante una interrupción. Al evaluar un proyecto, pregunta una cosa más: ¿se pueden acuñar más unidades de este token? Hacer esa pregunta antes de que ocurra un incidente cuesta muy poco.
¿Alguna vez te has encontrado con una cadena paralizada, un exchange que ha cerrado los depósitos y monedas que aparecen en tu cuenta pero que no puedes retirar? ¿Qué hiciste en ese momento?
#Initia #链上安全 #被黑复盘 #跨链桥 #SeguridadDeBilleteras
—— web3韭菜小凯
Esta publicación es únicamente un repaso del incidente y una opinión personal; no constituye asesoramiento de inversión. Las cantidades mencionadas se basan en información pública y en las declaraciones preliminares del proyecto. Las pérdidas definitivas serán las que confirme oficialmente.