Drift Protocol, un exchange descentralizado (DEX) basado en Solana, confirmó el jueves que fue objetivo de un exploit de aproximadamente USD 280 millones, describiéndolo como una “operación altamente sofisticada”.
La plataforma recurrió a X para compartir sus hallazgos de una investigación preliminar, señalando que los atacantes explotaron los nonces duraderos de Solana, un mecanismo que permite transacciones prefirmadas, para tomar el control y drenar fondos. El protocolo había indicado previamente que estaba experimentando un ataque activo y suspendió los depósitos y retiros mientras coordinaba con firmas de seguridad, bridges y exchanges.
El ataque comenzó el miércoles, y el robo involucró múltiples activos, incluyendo el USDC (USDC) de Circle y varias altcoins. Datos on-chain mostraron posteriormente que el atacante intercambió la mayoría de los activos a USDC, y que los fondos fueron posteriormente transferidos a Ethereum mediante bridges.
El incidente ha generado escrutinio no solo porque parece implicar el abuso de una funcionalidad legítima de transacciones de Solana, en lugar de una falla simple en un smart contract, sino también por la forma en que los fondos se movieron entre cadenas durante horas sin ser congelados, lo que plantea interrogantes sobre la intervención de emisores centralizados de stablecoins.
¿Cuál es la característica de durabilidad del nonce de Solana?
Los nonces duraderos de Solana son una característica única que permite a las transacciones evitar ciertos límites de expiración y posibilita a los usuarios prefirmar transacciones para su ejecución futura, firma offline o flujos complejos de multifirma.
Drift señaló que el atacante utilizó transacciones prefirmadas basadas en nonces duraderos para obtener acceso administrativo no autorizado y ejecutar acciones maliciosas rápidamente tras su envío.
Los nonces duraderos no han estado ampliamente asociados con exploits de gran magnitud por sí solos, pero los desarrolladores han señalado que las funcionalidades que permiten ejecución diferida pueden introducir complejidad y riesgos potenciales si se utilizan incorrectamente o se combinan con otras vulnerabilidades.
Cuestionamientos sobre la respuesta de Circle
El incidente ha generado críticas hacia el emisor de USDC, Circle, ya que el atacante tardó horas en convertir USD 270 millones a la stablecoin antes de transferirlos a Ethereum mediante bridges.
El investigador on-chain ZachXBT y otros señalaron que la compañía tuvo al menos seis horas para congelar los fondos, pero no actuó, en contraste con casos anteriores en los que direcciones fueron incluidas en listas negras.
Algunas figuras de la industria señalaron la brecha entre la capacidad de Circle para congelar fondos y cualquier obligación de hacerlo.
“Circle podría congelarlo. Pero no está obligada a hacerlo”, escribió el usuario seudónimo Molu en X, añadiendo que marcos regulatorios propuestos como la GENIUS Act podrían cambiar esa dinámica al exigir intervención bajo reglas definitivas.
El incidente marca otro caso más en el debate en curso sobre la intervención de plataformas centralizadas durante ataques, con ZachXBT criticando repetidamente a Circle por este tema.
El investigador cuestionó previamente la respuesta de Circle frente a USDC vinculado a un hack relacionado con Bybit a finales de febrero, lo que provocó una respuesta del CEO de Circle, Jeremy Allaire, quien afirmó que la compañía actúa en función de solicitudes de las autoridades antes de congelar fondos.
Aclaración: La información y/u opiniones emitidas en este artículo no representan necesariamente los puntos de vista o la línea editorial de Cointelegraph. La información aquí expuesta no debe ser tomada como consejo financiero o recomendación de inversión. Toda inversión y movimiento comercial implican riesgos y es responsabilidad de cada persona hacer su debida investigación antes de tomar una decisión de inversión.
