¡Después de que le robaran 660.000 dólares, este viejo protocolo de 2020 rompió directamente con sus usuarios!
Empecemos por la conclusión: he leído decenas de comunicados tras hackeos; los hay que echan balones fuera, que prometen cosas imposibles y que hacen como si no pasara nada. Pero uno tan franco como el de ACryptoS es el primero.
Esta mañana, ACryptoS, un veterano agregador de rendimientos DeFi, reveló que sus bóvedas habían sido atacadas: 5 cadenas, 77 bóvedas y unas pérdidas totales de 665.000 dólares (la cifra exacta que dio SlowMist es de 665.429 dólares).
La vulnerabilidad en sí era de una simplicidad absurda: la función depositMulti del contrato no validaba las entradas. El atacante solo tenía que depositar una cantidad ínfima de tokens para acuñar la mayor parte de las participaciones de la bóveda y, después, retirar el dinero de los demás. El protocolo se lanzó en 2020 y, hasta hoy, su documentación seguía diciendo: «Desde su lanzamiento, nunca se ha explotado una vulnerabilidad del código». Seis años de invicto acabaron por una validación sin terminar.
Pero lo que realmente hizo que la noticia se viralizara fue lo que hizo el equipo a continuación: los depósitos están cerrados, pero los retiros siguen abiertos; los fondos robados ya fueron transferidos y el equipo lanzó un mensaje al atacante: devuelve el dinero y puedes quedarte con un 10 % como recompensa, unos 66.500 dólares. Y el comunicado lo deja claro: el equipo ya no tiene recursos para seguir manteniendo el proyecto, que cesa sus operaciones; se pide a los usuarios que retiren sus activos cuanto antes.
Este comunicado es más sincero que mi mensaje de ruptura: «No puedo más, vete; llévate tus cosas y no mires atrás». No hay ningún «estamos haciendo todo lo posible para recuperar los fondos», ningún «dennos un poco más de tiempo»; ni siquiera se molestan en venderte la moto.
Lo más surrealista es ese 10 %: en muchos casos de hackeo, el proyecto retrasa la reapertura de los retiros y usa el dinero de los nuevos usuarios para tapar agujeros antiguos; aquí el orden se invierte: primero abren las compuertas para que los usuarios retiren su dinero y luego se sientan a negociar una «comisión» con el hacker. El mundo DeFi es así de surrealista: a veces los hackers tienen más sentido del honor que los propios proyectos.
665.000 dólares no es una cifra enorme, pero lo que muere es un protocolo veterano que llevaba seis años en marcha. Quien puso punto final a su historia no fue el hacker, sino esa frase suya: «Ya no tenemos recursos». Quienes todavía tienen dinero durmiendo en distintas bóvedas de rendimiento, esta noche acuérdense de echar un vistazo a sus posiciones: hay puertas que se cierran de repente.
$ETH $BNB
Empecemos por la conclusión: he leído decenas de comunicados tras hackeos; los hay que echan balones fuera, que prometen cosas imposibles y que hacen como si no pasara nada. Pero uno tan franco como el de ACryptoS es el primero.
Esta mañana, ACryptoS, un veterano agregador de rendimientos DeFi, reveló que sus bóvedas habían sido atacadas: 5 cadenas, 77 bóvedas y unas pérdidas totales de 665.000 dólares (la cifra exacta que dio SlowMist es de 665.429 dólares).
La vulnerabilidad en sí era de una simplicidad absurda: la función depositMulti del contrato no validaba las entradas. El atacante solo tenía que depositar una cantidad ínfima de tokens para acuñar la mayor parte de las participaciones de la bóveda y, después, retirar el dinero de los demás. El protocolo se lanzó en 2020 y, hasta hoy, su documentación seguía diciendo: «Desde su lanzamiento, nunca se ha explotado una vulnerabilidad del código». Seis años de invicto acabaron por una validación sin terminar.
Pero lo que realmente hizo que la noticia se viralizara fue lo que hizo el equipo a continuación: los depósitos están cerrados, pero los retiros siguen abiertos; los fondos robados ya fueron transferidos y el equipo lanzó un mensaje al atacante: devuelve el dinero y puedes quedarte con un 10 % como recompensa, unos 66.500 dólares. Y el comunicado lo deja claro: el equipo ya no tiene recursos para seguir manteniendo el proyecto, que cesa sus operaciones; se pide a los usuarios que retiren sus activos cuanto antes.
Este comunicado es más sincero que mi mensaje de ruptura: «No puedo más, vete; llévate tus cosas y no mires atrás». No hay ningún «estamos haciendo todo lo posible para recuperar los fondos», ningún «dennos un poco más de tiempo»; ni siquiera se molestan en venderte la moto.
Lo más surrealista es ese 10 %: en muchos casos de hackeo, el proyecto retrasa la reapertura de los retiros y usa el dinero de los nuevos usuarios para tapar agujeros antiguos; aquí el orden se invierte: primero abren las compuertas para que los usuarios retiren su dinero y luego se sientan a negociar una «comisión» con el hacker. El mundo DeFi es así de surrealista: a veces los hackers tienen más sentido del honor que los propios proyectos.
665.000 dólares no es una cifra enorme, pero lo que muere es un protocolo veterano que llevaba seis años en marcha. Quien puso punto final a su historia no fue el hacker, sino esa frase suya: «Ya no tenemos recursos». Quienes todavía tienen dinero durmiendo en distintas bóvedas de rendimiento, esta noche acuérdense de echar un vistazo a sus posiciones: hay puertas que se cierran de repente.
$ETH $BNB
