Una brecha de seguridad que afectó a la infraestructura de puentes del ecosistema IoTeX (IOTX) resultó en el robo de más de 8 millones de dólares en criptomonedas. Los hallazgos iniciales sugieren que el ataque no se debió a un error en un contrato inteligente, sino a la vulneración de una clave privada.
Según datos en cadena, el atacante convirtió rápidamente los activos comprometidos a ETH y luego comenzó a transferir los fondos a la red Bitcoin a través de THORChain. Esto se considera una estrategia para dificultar el rastreo.
El núcleo del incidente es la vulneración de la seguridad de la dirección EOA (Cuenta de Propiedad Externa), propietaria del contrato “TransferValidatorWithPayload”. La adquisición de esta clave privada permitió al atacante cambiar la propiedad de los contratos TokenSafe y MinterPool. Esto le permitió obtener acceso privilegiado al sistema y robar fondos.
Según los expertos, no existe ninguna vulnerabilidad de contrato inteligente ni mecanismo complejo de explotación. Una simple función mint() en el contrato realizaba una llamada transfer() en los contratos de tokens. Sin embargo, una vez obtenida la propiedad, esta función se usó indebidamente y se retiraron todos los activos.
Según el análisis en cadena, los activos robados en el ataque incluyen lo siguiente:
- 2.835 UNI
- 45.825 BUSD
- 13,85 millones de IOTX
- 8.71 PAXG
- 20.158 DAI
- 6.11 WBTC
- 635 WETH
- 1,36 millones de USDC
- 1,14 millones de USDT
Además, el atacante acuñó tokens CIOTX por valor de aproximadamente 4 millones de dólares a través de MinterPool. Los analistas señalan que el incidente no fue un incumplimiento contractual, sino una violación directa de la confianza en la capa de propiedad, y que la vulneración de una sola clave generó una reacción en cadena.
Tras la difusión del incidente en redes sociales, el equipo de IoTeX emitió un comunicado oficial. El comunicado indicó que la brecha de seguridad se solucionó rápidamente y que la situación se controló. Las evaluaciones iniciales sugieren que las pérdidas potenciales son menores que las cifras que circulan en línea.
El equipo también anunció que está coordinando con varias plataformas importantes de intercambio de criptomonedas y trabajando para rastrear y congelar los activos del atacante. Afirmaron que las actualizaciones se compartirán a través de canales oficiales y que los usuarios solo deben confiar en fuentes verificadas.
*Esto no constituye un consejo de inversión.