La versión antigua no se había desconectado; era como dejar la puerta sin cerrar. Esta vez, On Nexus perdió 8,5 BTC
El 25 de octubre, la antigua plataforma DotSwap V1 del protocolo de liquidez nativo de Bitcoin On Nexus fue vulnerada. El 27 de octubre, el equipo publicó un aviso de seguridad. El atacante aprovechó un mecanismo de firma del servidor que seguía activo en V1 y, en aproximadamente 4 horas, retiró unos 8,5 BTC de los pools de liquidez de V1 y de cuentas relacionadas, equivalentes a unos 685.000 dólares al precio de entonces. Los informes de PANews, KuCoin Flash y Odaily coinciden en las cifras y la duración.
V1 era una antigua plataforma de trading lanzada en 2024. Más adelante, el proyecto pasó a la nueva arquitectura Nexus y V1 ya figuraba en el plan de retirada. El problema es que retirarla solo estaba en los planes: el servicio seguía funcionando y los permisos de firma seguían activos. El atacante creó datos de firma ilegales y eludió los controles de riesgo habituales de la plataforma para retirar fondos de los pools. Según la información oficial de monitorización citada por Odaily, el ataque empleó scripts automatizados: primero sondeó las interfaces y luego retiró fondos gradualmente. Se vieron afectados 99 tipos de tokens Runes. El equipo también señaló que este método coincide con una tendencia reciente de ataques automatizados. Esa es la valoración del equipo; todavía no hay pruebas independientes, así que por ahora la considero una versión más.
El comunicado oficial explicó con claridad quién perdió dinero y quién no. Los pools de liquidez de V1 utilizaban una configuración multifirma bajo custodia: los fondos se concentraban primero en una bóveda multifirma controlada por la plataforma. Por eso, todos los depósitos que seguían en los pools de V1 se vieron afectados, y quienes perdieron fueron los proveedores de liquidez que no habían retirado sus fondos a tiempo. Las billeteras de autocustodia de los usuarios que solo operaban normalmente no se vieron afectadas, porque las transacciones cotidianas se realizan mediante operaciones de autocustodia nativas de Bitcoin y las claves privadas nunca se almacenaron en los servidores de la plataforma. El mismo incidente, dos tipos de billetera y resultados completamente distintos: la diferencia está en quién tenía los fondos.
Después del incidente, V1 se desconectó por completo y también se desmantelaron las interfaces de red del antiguo servicio de firma. Los canales de transacción de la nueva arquitectura Nexus no se vieron afectados. El equipo dijo que está rastreando los fondos junto con SlowMist y que también está compartiendo con las principales plataformas de trading las direcciones vinculadas al hacker. La investigación completa y el plan de respuesta siguen en elaboración y aún no se habían hecho públicos al momento de escribir esto. Por ahora, no demos por hecho que el plan de respuesta ya está definido.
Para los inversores minoristas, la lección de este caso es muy concreta: que un proyecto lance una versión nueva no significa que la antigua sea segura automáticamente. Mientras haya dinero real en los contratos antiguos y las interfaces antiguas conserven permisos de firma, el atacante no necesita vulnerar el sistema nuevo: basta con encontrar la puerta más vieja. Y lo peor es que muchas personas ni siquiera saben que aún no han migrado sus fondos. Cuando se publica el aviso y van a comprobarlo, puede que el pool ya esté vacío.
Mi opinión es muy clara. La próxima vez que un proyecto diga que ya migró, comprueba primero dos cosas: si se publicó un aviso oficial de desconexión de la versión antigua y si todavía tienes saldo en ella. Si no hay un aviso oficial de desconexión, no dejes allí tus fondos. Y quienes ya hayan migrado tampoco deberían fijarse solo en lo bien que funciona la nueva versión: hasta que no se publique el aviso de desconexión de la antigua, el asunto no está cerrado.
¿Alguna vez has dejado fondos en una versión antigua de algún proyecto sin migrarlos? ¿Cuándo fue la última vez que confirmaste que se había desconectado?
#BTC #比特币生态 #安全复盘 #DotSwap #SeguridadDeFi
—— web3韭菜小凯
El contenido solo recopila información pública y no constituye asesoramiento de inversión. Los importes mencionados se basan en el comunicado oficial de On Nexus y en los informes públicos de PANews, KuCoin Flash y Odaily. Para información posterior del proyecto, consulta sus canales oficiales.
El 25 de octubre, la antigua plataforma DotSwap V1 del protocolo de liquidez nativo de Bitcoin On Nexus fue vulnerada. El 27 de octubre, el equipo publicó un aviso de seguridad. El atacante aprovechó un mecanismo de firma del servidor que seguía activo en V1 y, en aproximadamente 4 horas, retiró unos 8,5 BTC de los pools de liquidez de V1 y de cuentas relacionadas, equivalentes a unos 685.000 dólares al precio de entonces. Los informes de PANews, KuCoin Flash y Odaily coinciden en las cifras y la duración.
V1 era una antigua plataforma de trading lanzada en 2024. Más adelante, el proyecto pasó a la nueva arquitectura Nexus y V1 ya figuraba en el plan de retirada. El problema es que retirarla solo estaba en los planes: el servicio seguía funcionando y los permisos de firma seguían activos. El atacante creó datos de firma ilegales y eludió los controles de riesgo habituales de la plataforma para retirar fondos de los pools. Según la información oficial de monitorización citada por Odaily, el ataque empleó scripts automatizados: primero sondeó las interfaces y luego retiró fondos gradualmente. Se vieron afectados 99 tipos de tokens Runes. El equipo también señaló que este método coincide con una tendencia reciente de ataques automatizados. Esa es la valoración del equipo; todavía no hay pruebas independientes, así que por ahora la considero una versión más.
El comunicado oficial explicó con claridad quién perdió dinero y quién no. Los pools de liquidez de V1 utilizaban una configuración multifirma bajo custodia: los fondos se concentraban primero en una bóveda multifirma controlada por la plataforma. Por eso, todos los depósitos que seguían en los pools de V1 se vieron afectados, y quienes perdieron fueron los proveedores de liquidez que no habían retirado sus fondos a tiempo. Las billeteras de autocustodia de los usuarios que solo operaban normalmente no se vieron afectadas, porque las transacciones cotidianas se realizan mediante operaciones de autocustodia nativas de Bitcoin y las claves privadas nunca se almacenaron en los servidores de la plataforma. El mismo incidente, dos tipos de billetera y resultados completamente distintos: la diferencia está en quién tenía los fondos.
Después del incidente, V1 se desconectó por completo y también se desmantelaron las interfaces de red del antiguo servicio de firma. Los canales de transacción de la nueva arquitectura Nexus no se vieron afectados. El equipo dijo que está rastreando los fondos junto con SlowMist y que también está compartiendo con las principales plataformas de trading las direcciones vinculadas al hacker. La investigación completa y el plan de respuesta siguen en elaboración y aún no se habían hecho públicos al momento de escribir esto. Por ahora, no demos por hecho que el plan de respuesta ya está definido.
Para los inversores minoristas, la lección de este caso es muy concreta: que un proyecto lance una versión nueva no significa que la antigua sea segura automáticamente. Mientras haya dinero real en los contratos antiguos y las interfaces antiguas conserven permisos de firma, el atacante no necesita vulnerar el sistema nuevo: basta con encontrar la puerta más vieja. Y lo peor es que muchas personas ni siquiera saben que aún no han migrado sus fondos. Cuando se publica el aviso y van a comprobarlo, puede que el pool ya esté vacío.
Mi opinión es muy clara. La próxima vez que un proyecto diga que ya migró, comprueba primero dos cosas: si se publicó un aviso oficial de desconexión de la versión antigua y si todavía tienes saldo en ella. Si no hay un aviso oficial de desconexión, no dejes allí tus fondos. Y quienes ya hayan migrado tampoco deberían fijarse solo en lo bien que funciona la nueva versión: hasta que no se publique el aviso de desconexión de la antigua, el asunto no está cerrado.
¿Alguna vez has dejado fondos en una versión antigua de algún proyecto sin migrarlos? ¿Cuándo fue la última vez que confirmaste que se había desconectado?
#BTC #比特币生态 #安全复盘 #DotSwap #SeguridadDeFi
—— web3韭菜小凯
El contenido solo recopila información pública y no constituye asesoramiento de inversión. Los importes mencionados se basan en el comunicado oficial de On Nexus y en los informes públicos de PANews, KuCoin Flash y Odaily. Para información posterior del proyecto, consulta sus canales oficiales.
