#hype #比特币突破79000美元
Hyperliquid（actualmente una de las principales plataformas de trading de contratos descentralizados）: una cartera de usuario fue robada:
1. El hacker obtuvo el control de la cuenta y transfirió directamente 738.6 mil USDC (moneda estable, aprox. 738.6 mil dólares);
2. El hacker emitió una orden para deshacer el staking de 10,287 tokens HYPE que el usuario tenía en garantía.
Reglas de Hyperliquid: el desbloqueo (des-staking) de HYPE tiene un periodo de espera de 7 días. La solicitud de des-staking no se acredita de inmediato; solo después de 7 días se puede retirar (instrucción de código cWithdraw).
En el momento del incidente, esta parte de HYPE aún estaba en la cola de staking y no había sido retirada. Si durante esos 7 días no se intercepta, tras el vencimiento el hacker puede transferirlo todo.
3. El USDC robado se rastrea en la cadena: los fondos parecen haberse dirigido a una dirección asociada a la exchange Bitget. Los criminales suelen mover los fondos a una exchange para blanquearlos.
Este incidente expone un grave fallo de seguridad en la plataforma
1. No existe un mecanismo de pausa de emergencia para los usuarios
La ventana de 7 días para el des-staking estaba pensada como un margen para que los usuarios reaccionaran y limitaran pérdidas, pero la plataforma no ofrece funciones para congelar o pausar retiros con un solo clic.
Aunque la víctima detecte el robo, no puede detener por sí misma la orden de des-staking ejecutada por el hacker. Antes ya habían ocurrido dos casos similares de robo, precisamente por la falta de una pausa: después de 7 días, los activos en staking volvieron a ser robados; las pérdidas acumuladas superan 1.1 millones de U.
2. Propuesta de soluciones del sector (al final del boletín)
La comunidad sugiere que la plataforma implemente mecanismos de seguridad Guardian (tutoría/monitor) y Recovery (restauración de cuentas):
- Los usuarios pueden activar previamente un bloqueo de emergencia y pausar con un solo clic transferencias, retiros y cambios de staking;
- La liberación requiere un bloqueo de tiempo + verificación de identidad para evitar que el hacker vacíe los activos.
Hyperliquid（actualmente una de las principales plataformas de trading de contratos descentralizados）: una cartera de usuario fue robada:
1. El hacker obtuvo el control de la cuenta y transfirió directamente 738.6 mil USDC (moneda estable, aprox. 738.6 mil dólares);
2. El hacker emitió una orden para deshacer el staking de 10,287 tokens HYPE que el usuario tenía en garantía.
Reglas de Hyperliquid: el desbloqueo (des-staking) de HYPE tiene un periodo de espera de 7 días. La solicitud de des-staking no se acredita de inmediato; solo después de 7 días se puede retirar (instrucción de código cWithdraw).
En el momento del incidente, esta parte de HYPE aún estaba en la cola de staking y no había sido retirada. Si durante esos 7 días no se intercepta, tras el vencimiento el hacker puede transferirlo todo.
3. El USDC robado se rastrea en la cadena: los fondos parecen haberse dirigido a una dirección asociada a la exchange Bitget. Los criminales suelen mover los fondos a una exchange para blanquearlos.
Este incidente expone un grave fallo de seguridad en la plataforma
1. No existe un mecanismo de pausa de emergencia para los usuarios
La ventana de 7 días para el des-staking estaba pensada como un margen para que los usuarios reaccionaran y limitaran pérdidas, pero la plataforma no ofrece funciones para congelar o pausar retiros con un solo clic.
Aunque la víctima detecte el robo, no puede detener por sí misma la orden de des-staking ejecutada por el hacker. Antes ya habían ocurrido dos casos similares de robo, precisamente por la falta de una pausa: después de 7 días, los activos en staking volvieron a ser robados; las pérdidas acumuladas superan 1.1 millones de U.
2. Propuesta de soluciones del sector (al final del boletín)
La comunidad sugiere que la plataforma implemente mecanismos de seguridad Guardian (tutoría/monitor) y Recovery (restauración de cuentas):
- Los usuarios pueden activar previamente un bloqueo de emergencia y pausar con un solo clic transferencias, retiros y cambios de staking;
- La liberación requiere un bloqueo de tiempo + verificación de identidad para evitar que el hacker vacíe los activos.