Drift Protocol, un intercambio descentralizado (DEX) basado en Solana, confirmó el jueves que fue objeto de un exploit de aproximadamente $280 millones, describiéndolo como una “operación altamente sofisticada”.
La plataforma recurrió a X para compartir los hallazgos de una investigación preliminar, afirmando que los atacantes explotaron los nonces duraderos de Solana, un mecanismo que permite transacciones pre-firmadas, para tomar el control y drenar fondos. El protocolo había dicho anteriormente que estaba experimentando un ataque activo y suspendió los depósitos y retiros mientras coordinaba con firmas de seguridad, puentes e intercambios.
El ataque comenzó el miércoles, con el robo involucrando múltiples activos, incluyendo USDC de Circle (USDC) y varias altcoins. Datos on-chain mostraron más tarde que el atacante intercambió la mayoría de los activos por USDC, y los fondos fueron luego bridgeados a Ethereum.
El incidente ha atraído escrutinio no solo porque parece involucrar el abuso de una característica legítima de las transacciones de Solana en lugar de una simple falla de contrato inteligente, sino también por cómo los fondos se movieron entre cadenas durante horas sin ser congelados, lo que plantea preguntas sobre la intervención de los emisores centralizados de stablecoins.
Los nonces duraderos de Solana son una característica única que permite que las transacciones eviten ciertas ventanas de vencimiento y que los usuarios pre-firmen transacciones para ejecución futura, firma fuera de línea o flujos de trabajo multisig complejos.
Drift dijo que el atacante utilizó transacciones pre-firmadas basadas en nonces duraderos para obtener acceso administrativo no autorizado y ejecutar acciones maliciosas rápidamente después de la presentación.
Los nonces duraderos no se han asociado ampliamente con exploits importantes por sí mismos, pero los desarrolladores han señalado que las características que permiten la ejecución retrasada pueden introducir complejidad y riesgos potenciales si se usan indebidamente o se combinan con otras vulnerabilidades.
El incidente ha provocado críticas hacia Circle, el emisor de USDC, ya que el atacante tardó horas en intercambiar $270 millones por la stablecoin antes de bridgearlos a Ethereum.
El investigador on-chain ZachXBT y otros dijeron que la compañía tuvo al menos seis horas para congelar los fondos, pero no actuó, contrastando esta respuesta con casos anteriores donde las billeteras fueron incluidas en listas negras.
Algunas figuras de la industria señalaron la brecha entre la capacidad de Circle para congelar fondos y cualquier obligación de hacerlo.
“Circle podría congelarlo. Pero no están obligados a hacerlo”, escribió el usuario pseudónimo Molu en X, agregando que los marcos regulatorios propuestos, como la Ley GENIUS, podrían cambiar esa dinámica al exigir intervención bajo reglas finalizadas.
Relacionado: Balancer Labs cierra 4 meses después de un exploit de más de $100 millones, el protocolo continuará
El incidente marca otro caso en el debate en curso sobre la intervención de las plataformas centralizadas durante los ataques, con ZachXBT criticando repetidamente a Circle sobre el tema.
El investigador cuestionó previamente la respuesta de Circle al USDC relacionado con un hackeo de Bybit a finales de febrero, lo que provocó una respuesta del CEO de Circle, Jeremy Allaire, quien dijo que la compañía actúa según las solicitudes de las fuerzas del orden antes de congelar los fondos.
Magazine: Nadie sabe si la criptografía cuántica segura funcionará
