📅 30 de diciembre | Ecosistema de Ethereum
Cuando un atacante logra drenar millones de dólares de un protocolo y, horas después, comienza a fragmentar los fondos. El reciente ataque contra el Protocolo Unleash no solo expuso debilidades críticas en su sistema de gobernanza, sino que rápidamente escaló a una fase más oscura del ciclo de hackeo cripto: el blanqueo de activos en cadena.
📖 Según datos en cadena e informes de múltiples firmas de seguridad, el atacante responsable de la explotación en el Protocolo Unleash comenzó a blanquear aproximadamente 1,337 ETH, equivalente a casi $4 millones, utilizando el mezclador Tornado Cash. Esto ocurrió poco después de que el protocolo confirmara públicamente una violación de seguridad que resultó en pérdidas de aproximadamente $3.9 millones.
Unleash Protocol informó que el ataque se originó a partir de un compromiso en su sistema de multisignatura, permitiendo que una dirección externa obtuviera control administrativo sobre la gobernanza del protocolo.
Desde allí, el atacante ejecutó una actualización de contrato no autorizada, habilitando retiros de fondos que no fueron aprobados por el equipo ni siguieron los procesos operativos previstos. En términos simples, la arquitectura de control fue eludida desde dentro.
La investigación preliminar sugiere que el acceso puede haber sido logrado a través de ingeniería social, phishing u otras formas de compromiso de credenciales, una dinámica que se está volviendo cada vez más común en 2025, donde los ataques ya no dependen exclusivamente de fallas en el código. Una vez que se obtuvo el control, el atacante actuó con velocidad quirúrgica.
Los activos afectados incluyeron WIP, USDC, WETH, stIP y vIP, la mayor parte de los cuales fue puenteada a Ethereum antes de ser enviada a Tornado Cash. Empresas como PeckShield detectaron que los fondos fueron movidos en repetidos bloques de 100 ETH, una técnica clásica para dificultar el seguimiento y diluir la huella en la cadena.
Por su parte, CertiK indicó que los retiros iniciales provienen de una cuenta externa creada utilizando SafeProxyFactory, una herramienta legítima que, en este caso, habría sido utilizada con fines maliciosos.
Unleash Protocol, el impacto del incidente está limitado exclusivamente a sus propios contratos y controles administrativos, asegurando que Story Protocol, la infraestructura subyacente, no muestra signos de compromiso en validadores, contratos base o red. Aun así, el daño reputacional ya se ha hecho.
Tema Opinión:
El código puede ser auditado, pero los humanos siguen siendo el eslabón más débil. Multisigs comprometidos, permisos mal gestionados y procesos administrativos vulnerables se han convertido en la nueva superficie de ataque favorita.
💬 ¿Deberían los protocolos limitar los poderes administrativos incluso en multisigs?
Deja tu comentario...
#Ethereum #cryptohacks #TornadoCash #ETH #CryptoNews $ETH
