Los riesgos de los puentes entre cadenas: a veces el problema no está en el “puente”, sino en la forma en que se leen los parámetros.
Chainflip (intercambio entre cadenas sin activos envueltos) sufrió un ataque en la ruta de liquidación de Tron la madrugada del 12 de septiembre: la divulgación oficial indica que le sustrajeron 736.442,17 $USDT en total. Este es un evento de seguridad clave: es la primera vez que reconoce públicamente una pérdida material de fondos.
El mecanismo es muy duro: en otras cadenas usan funciones de contrato para enviar instrucciones de swap; en Tron, en cambio, se lee el memo de la transacción. El atacante adjunta un memo adicional a una transacción ya firmada por el validador; el protocolo lo interpreta como un nuevo swap y, tras fallar, devuelve el reembolso. Así, un mismo depósito se paga dos veces. Tras unas 90 minutos, probó 8 rondas y logró 6.
Rango: Actualmente el análisis solo ha afectado la ruta Tron $USDT; otras cadenas y los fondos restantes se consideran no afectados. Además, hay un intercambio de un usuario que aún no se ha procesado: 115,654.41 $USDT permanece en el vault y puede procesarse después de reiniciar. La red está en pausa al menos hasta el lunes (9/14). Se ha prometido que a los usuarios afectados se les repondrá, pero aún no se ha determinado la fuente de la compensación.
Mi evaluación: El monto no es tan exagerado en comparación con casos grandes como Liquid o Symbiosis, pero es una advertencia bastante clara: “cross-chain nativo, sin puente” no significa que no exista el riesgo de interpretación/capa de liquidación. En cuanto un memo entra en una máquina de estados, hay que diseñarlo según la superficie de ataque, no según la conveniencia.
(Hechos públicos provenientes de la divulgación de Chainflip el 9/13 y de informes de Crypto Times, etc. No constituye asesoramiento de inversión.)