El creador de mercado automatizado (AMM) Aquifer, basado en Solana, ha perdido aproximadamente 2.5 millones de dólares en un exploit que involucra billeteras en Solana y Ethereum, con el protocolo ofreciendo al atacante una recompensa del 20% por devolver la mayor parte de los fondos.
El servicio de monitoreo de seguridad blockchain Defimon informó el ataque el 31 de agosto, identificando direcciones separadas de Solana y Ethereum controladas por el presunto explotador. Aquifer envió posteriormente una oferta on-chain de sombrero blanco solicitando la devolución de al menos el 80% de los activos vinculados al incidente.
La oferta da al atacante hasta el 3 de septiembre a las 14:00 UTC para transferir los activos, o su valor equivalente, a las direcciones de recuperación proporcionadas por Aquifer. La persona que controla las billeteras puede retener hasta el 20% de los fondos como una recompensa de sombrero blanco si se cumplen las condiciones.
Aquifer declaró que no emprendería acciones legales civiles derivadas del exploit si el atacante cumple con los términos, sujeto a la ley aplicable. El acuerdo no vincularía a las agencias de aplicación de la ley, reguladores, autoridades de sanciones u otros organismos gubernamentales.
Aquifer opera como un creador de mercado automatizado propietario en Solana, donde su liquidez se utiliza para facilitar intercambios de tokens. DefiLlama describe el protocolo como un AMM propietario y actualmente enumera su valor total bloqueado en alrededor de 2.8 millones de dólares.
Las direcciones identificadas después del exploit muestran actividad que abarca Solana y Ethereum. Defimon vinculó la dirección de Solana 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J y la dirección de Ethereum 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 con el atacante.
El mensaje de sombrero blanco de Aquifer fue autorizado a través de la autoridad de actualización de Solana del protocolo y publicado on-chain. El proyecto suministró direcciones de recuperación separadas para Solana y Ethereum, permitiendo que los activos asociados con el ataque sean devueltos en cualquiera de las redes.
La información pública aún no ha establecido exactamente cómo se comprometieron las billeteras. No se ha publicado ningún post-mortem técnico que explique si se expusieron claves privadas, credenciales de administrador o alguna otra parte de la infraestructura operativa de Aquifer.
La información disponible tampoco establece que el código del contrato inteligente de Aquifer fuera explotado. El uso de direcciones en Ethereum y Solana proporciona un rastro para los investigadores que rastrean los activos, pero por sí mismo no identifica cómo se obtuvo acceso a los fondos afectados.
El incidente sigue a varios ataques relacionados con Solana este año donde el punto de compromiso estuvo fuera de la blockchain subyacente.
En junio, crypto.news informó previamente que cinco fondos de liquidez heredados pertenecientes a Raydium perdieron aproximadamente 1.3 millones de dólares después de que un atacante apuntara a la infraestructura AMM retirada.
El investigador on-chain Specter dijo que el atacante de Raydium usó una dirección de mint falsa para eludir las comprobaciones de validación en un programa AMM más antiguo. Los activos robados incluyeron aproximadamente 150,177 RAY, 5,603 SOL y 893,700 USDC.
Raydium dijo que sus fondos activos y usuarios actuales no se vieron afectados porque la infraestructura vulnerable ya había sido eliminada. El protocolo se comprometió a reembolsar los activos afectados de su tesorería.
Un incidente separado en julio que involucró a Across Protocol produjo pérdidas de menos de 4 millones de dólares después de que un atacante fabricara eventos de depósito de Solana. El atacante creó 1,627 depósitos falsos con un valor declarado combinado de 41.7 millones de dólares y solicitó pagos en 18 cadenas de destino.
El retransmisor de Risk Labs procesó 581 de las solicitudes fraudulentas antes de que las operaciones de Solana fueran suspendidas, adelantando aproximadamente 4.5 millones de dólares de su propio capital. Alrededor de 500,000 dólares pertenecientes al atacante permanecieron atrapados, lo que llevó la pérdida neta por debajo de los 4 millones de dólares.
Across dijo más tarde que el ataque de Solana se originó por una falla en el software de lectura de eventos off-chain de Risk Labs y no por una vulnerabilidad en sus contratos inteligentes o en la red de Solana. Las transferencias legítimas de usuarios fueron completadas o reembolsadas.
Los fallos de seguridad operativa han producido pérdidas en otros lugares sin que los atacantes necesiten explotar la lógica de los contratos inteligentes.
La empresa de pagos con stablecoins Triple-A confirmó en julio que el acceso no autorizado a sus billeteras de tesorería resultó en el robo de activos digitales propiedad de la empresa. Los investigadores on-chain rastrearon inicialmente retiros sospechosos en Ethereum, Solana, TRON y TON, con algunos informes identificando actividad en Polygon y Arbitrum.
Triple-A dijo más tarde que los fondos de los clientes no se vieron afectados porque los activos de los clientes estaban segregados de la infraestructura de tesorería comprometida. Los investigadores habían estimado la pérdida en aproximadamente 11.8 millones de dólares antes de que la empresa confirmara la brecha.
La empresa no reveló si el atacante obtuvo claves privadas, credenciales u otra forma de acceso. Triple-A dijo que especialistas en ciberseguridad y la policía de Singapur estaban trabajando en la investigación y el rastreo de activos.
Los compromisos de claves privadas y billeteras han representado una parte sustancial de los robos de criptomonedas en 2026. CertiK informó en julio que las pérdidas de activos digitales alcanzaron los 1.32 mil millones de dólares durante la primera mitad del año, un 46.8% menos que en el mismo período de 2025.
A pesar del menor total, la firma de seguridad dijo que los compromisos de billeteras se convirtieron en el método de ataque más grande durante el segundo trimestre, reemplazando el phishing como la principal fuente de pérdidas.
Otro proyecto de Solana, Step Finance, finalmente cerró sus operaciones después de que un ataque a principios de este año apuntara a dispositivos utilizados por miembros de su equipo ejecutivo. Los atacantes obtuvieron acceso a las billeteras de tesorería y de tarifas y movieron aproximadamente 261,854 SOL, mientras que estimaciones posteriores situaron las pérdidas totales en los activos afectados cerca de los 40 millones de dólares.
Los investigadores determinaron que los contratos inteligentes de Step Finance no fueron el punto de entrada. Los puntos finales comprometidos permitieron a los atacantes acceder a las billeteras utilizadas por el proyecto, y el daño financiero contribuyó posteriormente a la decisión de cerrar la plataforma.
Una distinción similar dependerá de que Aquifer publique más detalles sobre su propia brecha. El protocolo no ha publicado un post-mortem que identifique el punto de acceso inicial, las credenciales específicas involucradas o si una cuenta comprometida proporcionó control sobre múltiples billeteras.
Por ahora, el proceso de recuperación de Aquifer se centra en su propuesta de sombrero blanco. Al atacante se le ha ofrecido el derecho a retener hasta el 20% de los activos asociados con el exploit si al menos el 80% es devuelto a las direcciones de recuperación designadas antes del 3 de septiembre a las 14:00 UTC.
SOL
USDC