Se acuñaron 1.000 millones de DOT de la nada, pero el hacker solo obtuvo 230.000 dólares
Autor: Zhou, ChainCatcher
El 13 de abril a las 10 a. m., hora de Beijing, la plataforma de monitoreo en cadena emitió alertas: había una emisión anormal de activos puenteados en la red Ethereum desde Polkadot.
Según el análisis de CertiK, el atacante envió una solicitud intercadena cuidadosamente elaborada al contrato HandlerV1 en el lado de Ethereum a través del protocolo ISMP de Hyperbridge, junto con una prueba de MMR real históricamente aceptada, evitando con éxito el mecanismo de verificación.
BlockSec Phalcon posteriormente publicó una alerta técnica, clasificando esta vulnerabilidad como una vulnerabilidad de prueba de reproducción de MMR. Según su análisis, la raíz de la vulnerabilidad radica en el hecho de que la protección contra la reproducción del contrato HandlerV1 solo verifica si el hash de una cierta solicitud se ha utilizado antes, pero el proceso de verificación de la prueba no vincula la carga útil de la solicitud presentada con la prueba verificada.
Esta laguna lógica permitió al atacante reproducir una prueba históricamente válida y asociarla con una solicitud maliciosa recién construida, ejecutando así la operación ChangeAssetAdmin a través de la ruta TokenGateway.onAccept(), transfiriendo los derechos de administrador y acuñación del contrato DOT envuelto en Ethereum (dirección: 0x8d...8F90b8) a una dirección controlada por el atacante.
Según los datos en cadena, después de obtener los derechos de acuñación, el atacante acuñó 1.000 millones de DOT puenteados, lo que fue aproximadamente 2805 veces el suministro circulante reportado de unos 356.000 de ese token en Ethereum en ese momento.
Posteriormente, el atacante intercambió todos los chips por aproximadamente 108,2 ETH a través del enrutador Odos y el fondo de liquidez Uniswap V4, transfiriéndolo a la cuenta externa del atacante, obteniendo una ganancia de aproximadamente $237,000 según el precio de ese momento, y todo el ataque consumió solo aproximadamente $0.74 en tarifas de gas.
BlockSec Phalcon también mencionó que había habido un ataque anterior utilizando el mismo método, dirigido a los tokens MANTA y CERE, lo que resultó en una pérdida de aproximadamente $12,000. La pérdida total de ambos ataques ascendió a aproximadamente $242,000.
Después del incidente, los principales intercambios surcoreanos Upbit y Bithumb anunciaron la suspensión de los servicios de depósito y retiro para DOT y AssetHub Polkadot network para prevenir posibles riesgos de depósitos falsos.
Los funcionarios de Polkadot declararon que esta vulnerabilidad solo afecta a DOT puenteado a Ethereum a través de Hyperbridge y no impacta en los activos DOT dentro del ecosistema Polkadot o en DOT transferido a través de otros puentes entre cadenas. Polkadot y sus parachains, así como DOT nativo, permanecen seguros y sin efecto. Actualmente, Hyperbridge ha sido suspendido para investigar el problema.
Vale la pena mencionar que, aunque la escala de acuñación alcanzó los 1.000 millones, la pérdida real fue mucho menor que la cifra teórica. Debido a la liquidez extremadamente limitada en la cadena de DOT envuelto en Ethereum, la venta concentrada de 1.000 millones de tokens hizo que el precio de DOT envuelto se desplomara instantáneamente de $1.22 a $0.00012831, una caída del 99,98 %, lo que hizo que la mayoría de los tokens fueran ineficaces para la liquidación.
Según los datos de CoinMarketCap, el precio del token DOT nativo también cayó brevemente casi un 5 % debido al sentimiento del mercado.
Los usuarios de X declararon abiertamente que quién iba a pensar que el mito de la cadena cruzada DOT, que una vez estuvo al lado de Ethereum, explotaría en las redes sociales de esta manera. Los puentes de cadena cruzada se han convertido una vez más en el "talón de Aquiles" del mundo de las criptomonedas, transformándose de un área previamente descuidada en un escenario de devastación. Cuando 1.000 millones de DOT aparecieron de la nada, todos los indicadores técnicos se volvieron inútiles.
Algunos usuarios bromearon diciendo que la baja liquidez salvó a Polkadot esta vez, manteniendo la pérdida real en alrededor de $237,000.
Sin embargo, la baja liquidez de los activos puenteados, si bien limitó las ganancias del hacker, expuso las posibles vulnerabilidades de la capa de interoperabilidad de cadena cruzada.
Se informa que Hyperbridge, desarrollado por Polytope Labs, es un proyecto de interoperabilidad entre cadenas dentro del ecosistema Polkadot, que desde hace tiempo se ha basado en pruebas criptográficas en lugar de comités de múltiples firmas como su mecanismo de seguridad central, posicionándose como una infraestructura entre cadenas con minimización de confianza. El proyecto había enfatizado anteriormente su resistencia a los ataques comunes a los puentes.
Pero este incidente puede indicar que la integridad del mecanismo de prueba criptográfica por sí sola no es suficiente para garantizar la seguridad; la lógica de implementación específica del contrato Gateway en el lado de Ethereum también constituye una superficie de ataque.
Desde una perspectiva más amplia, este incidente refleja la grave situación de seguridad en curso en DeFi desde 2026. Varios ataques significativos han ocurrido este año, incluyendo Venus generando $2.15 millones en deuda incobrable debido a la manipulación de precios, Resolve sobre-mintiendo 80 millones de USR, y Drift siendo hackeado por más de $285 millones en activos, con varios métodos de ataque y una amplia gama de áreas afectadas.
La adquisición de derechos de acuñación para la emisión ilimitada no es un nuevo modelo de ataque. Sin embargo, debido a la liquidez extremadamente escasa de Hyperbridge, las pérdidas se minimizaron de manera inesperada.
Según los datos de CertiK, solo en marzo se registraron 46 incidentes de seguridad, con pérdidas totales de aproximadamente 39,8 millones de dólares, lo que marca el récord mensual más alto desde noviembre de 2024. CertiK también señaló que la frecuencia de explotación de vulnerabilidades en el código ha aumentado, posiblemente relacionada con el auge de las herramientas de descubrimiento de vulnerabilidades asistidas por IA.
El aumento en la frecuencia de los ataques también está incitando a la industria a reevaluar los límites de la seguridad y la regulación. El director de estrategia de Circle, Dante Disparte, pidió anteriormente que los protocolos, carteras, intercambios y emisores de stablecoins consideren la seguridad y la responsabilidad como una obligación compartida en respuesta al incidente de robo del Protocolo Drift, sugiriendo que los protocolos DeFi podrían desarrollar medidas de protección técnica en cadena haciendo referencia a los mecanismos tradicionales de interruptores de circuito del mercado y promover una legislación relevante para incorporar los derechos de propiedad y los estándares de protección de la privacidad financiera en la ley antes de que ocurra el próximo incidente importante.
También te puede interesar

Horario de trading de futuros: opere con criptomonedas 24/7 y obtenga hasta un 45% de reembolso en comisiones
Conozca el horario de trading de futuros y el mejor momento para operar con futuros de criptomonedas. Descubra información sobre el mercado 24/7, las sesiones de mayor actividad y cómo recuperar hasta el 45% de sus comisiones.

¿Por qué a16z Crypto está recaudando otros $2,200 millones para invertir fuertemente en Web3?

Explicación del algoritmo subyacente de Polymarket

¿Qué hacen los proyectos que nacen en el mercado bajista de las criptomonedas?

Conferencia del fundador de a16z en Stanford: Siempre que Wall Street y Silicon Valley tienen ideas diferentes, es Wall Street quien termina estando equivocado

Michael Saylor: Tras tres trimestres consecutivos de pérdidas, Strategy venderá Bitcoin para pagar dividendos

La estación de peaje en Ormuz y el renminbi que no se puede comprar

Entrevista con el jefe de estrategia de Coinbase Institutional: La institucionalización de las criptomonedas llega a un punto crítico

Diálogo con el CEO de Agora, Nick: La batalla por las licencias de stablecoins apenas comienza

¿Cómo hacer un saldo entre riesgo y retorno en los rendimientos DeFi?

La tesis de Tom Lee sobre Ethereum: Por qué el hombre que acertó el último ciclo está apostando fuerte por Bitmine
Tom Lee se está convirtiendo en uno de los defensores más influyentes de Ethereum. Desde Fundstrat hasta Bitmine, su análisis sobre Ethereum combina el rendimiento del staking, la acumulación de activos y el valor a largo plazo de la red. He aquí por qué «Tom Lee Ethereum» se ha convertido en uno de los temas más seguidos del mundo de las criptomonedas.

Naval sube personalmente al escenario: El histórico choque entre la gente común y el capital de riesgo.

a16z Cripto: 9 gráficos para comprender las tendencias de evolución de las stablecoins

Refutación del artículo «El fin de las criptomonedas», de Yang Haipo

¿Puede un secador de pelo ganar $34,000? Interpretando la paradoja de la reflexividad de los mercados de predicción

Fundador de 6MV: En 2026, ha llegado el "punto de inflexión histórico" para la inversión en criptomonedas

Un VC del mundo cripto dijo que la IA es demasiado loca, y que son muy conservadores.

Abraxas Capital emite $2.89 mil millones en USDT: ¿Impulso de liquidez o simplemente más arbitraje de stablecoins?
Abraxas Capital acaba de recibir $2.89 mil millones en USDT recién emitidos de Tether. ¿Es esta una inyección de liquidez alcista para los mercados de criptomonedas, o es simplemente el negocio habitual de un gigante del arbitraje de stablecoins? Analizamos los datos y el probable impacto en Bitcoin, altcoins y DeFi.
Horario de trading de futuros: opere con criptomonedas 24/7 y obtenga hasta un 45% de reembolso en comisiones
Conozca el horario de trading de futuros y el mejor momento para operar con futuros de criptomonedas. Descubra información sobre el mercado 24/7, las sesiones de mayor actividad y cómo recuperar hasta el 45% de sus comisiones.




