Exploits de contratos y protocolos
El contrato funcionó perfectamente. Ese era el problema.
Un exploit de protocolo rara vez es un bug en el sentido romántico. Es un contrato ejecutando sus reglas ante una entrada que nadie modeló: un precio movible, un patrocinador que paga cualquier cosa, una delegación que sobrevive a su propósito.
Los casos comparten estructura: una suposición escrita en el código, un atacante que lee mejor que los revisores y una ventana medida en bloques. Dos son incidentes repetidos, lo que es una lección aparte sobre remediación.
Casos documentados en detalle
No toda pérdida con tokens viene de alguien hablándote: cómo los bots MEV de tipo sándwich exprimen los swaps minoristas simplemente adelantándose a sus swaps en Base y Arbitrum.
Cómo funciona
La suposición
Se confía en un feed de precios, en quien llama, en un patrocinador de gas ilimitado. Es invisible porque nunca se escribió como suposición.
La manipulación
Capital de flash loan, una secuencia de llamadas diseñada o una cuenta delegada vuelven falsa esa suposición durante un bloque.
La reincidencia
El parche corrige el síntoma. La clase de bug permanece y semanas después el mismo protocolo cae de nuevo.
Investigaciones de este vector
Lumi Finance: 264.000 $ Aprobados Sin Una Sola Firma
Un paymaster ERC-4337 controlado por el atacante creó aprobaciones durante la validación y drenó unos 264.000 $ de cuentas de Lumi Finance.
Leer la investigaciónSolido Money: Precio Roto, Drenado Dos Veces en un Día
Solido Money en Supra: 809.052 $CASH minteados por manipulación de oráculo y la jugada repetida en 5 wallets horas después.
Leer la investigaciónVerus y Ostium: Misma Clave, Segundo Exploit
Verus y Ostium fueron explotados dos veces en semanas. Los parches cerraron la puerta usada, no la de al lado.
Leer la investigaciónEIP-7702: Una Firma Vacía Tu Cartera Entera
Una firma en una delegación EIP-7702 de Pectra entrega todo tu saldo. El mensaje exacto que verás, el payload 0x04 y cómo revocarlo hoy.
Leer la investigaciónSeñales de alerta
- Una única fuente de precio, o un oráculo con poca liquidez detrás.
- Patrocinio de gas o abstracción de comisiones sin límites por usuario.
- Un alcance de auditoría que excluye el módulo que mueve el dinero.
- Un incidente previo cuyo post-mortem prometió cambios de proceso y no de código.
- Funciones de administración accesibles sin timelock.
Si ya te ocurrió
- 1.Retira de los pools afectados antes de que caigan las liquidaciones secundarias.
- 2.Revoca aprobaciones al contrato explotado, incluido cualquier router delante de él.
- 3.Registra tu posición en el bloque del incidente: los reembolsos se calculan por snapshot.
- 4.Lee el post-mortem buscando la clase de bug, no el parche: la clase predice el próximo incidente.
Vocabulario relacionado
¿Tienes un mensaje, enlace o token sospechoso?
Pégalo en el detector gratuito. Sin registro, sin coste, respuesta en segundos.