El protocolo de gestión de activos blockchain Swan Treasury ha sufrido una pérdida estimada de $625,000 después de que unos atacantes explotaran una clave de firma fuera de la cadena (off-chain) filtrada para comprar tokens STY con un gran descuento antes de venderlos para obtener ganancias.
Según la firma de seguridad blockchain Defimon Alerts, el exploit tuvo lugar en BNB Chain después de que la clave de firma fuera de la cadena del protocolo, codificada de forma fija como la dirección _signer en el contrato ZhaiquanBuy, fuera comprometida.
El atacante utilizó la clave filtrada para generar firmas válidas para su propia cartera, lo que les permitió eludir las restricciones de compra previstas por el protocolo.
Defimon Alerts afirmó que el atacante manipuló la función buy(), que calcula la cantidad de STY que recibe un usuario basándose en un valor de descuento firmado. Al generar una firma válida con el parámetro de descuento establecido en uno, el atacante compró STY a aproximadamente una centésima parte de su precio previsto.
Utilizando un préstamo flash de PancakeSwap por un valor aproximado de 19,700 USDT, el atacante adquirió cerca de 687,000 tokens STY a través del mecanismo de compra con descuento.
La firma de seguridad dijo que el exploit no terminó ahí. También se falsificaron firmas válidas para las funciones claim() y transfer() del protocolo en contratos relacionados, lo que le dio al atacante acceso adicional a STY antes de vender los tokens en el pool de liquidez STY/USDT.
Después de deshacer la posición, el atacante obtuvo alrededor de 625,000 USDT en ganancias, según Defimon Alerts.
STY se negociaba a aproximadamente $2.87 en el momento del incidente, según la alerta de la firma.
En su evaluación técnica, Defimon Alerts indicó que cada operación ecrecover observada durante el exploit se resolvió en la dirección del firmante codificada del protocolo, en lugar de en una cuenta controlada por el atacante.
La firma dijo que este comportamiento indica que la clave privada del firmante en sí había sido comprometida, en lugar de que el protocolo contuviera una falla en su lógica de verificación de firma. Debido a que las firmas generadas coincidían exactamente con el firmante esperado, las transacciones parecían válidas para los contratos inteligentes afectados.
El hallazgo reduce la causa probable del exploit a un acceso no autorizado a las credenciales de firma del protocolo en lugar de un error en el proceso de verificación criptográfica.
Al momento de la publicación, Swan Treasury no había explicado públicamente cómo se expuso la clave del firmante ni si se habían implementado medidas de mitigación adicionales.
El incidente se suma a una serie de ataques criptográficos en los que claves privilegiadas comprometidas, en lugar de errores en contratos inteligentes, permitieron a los atacantes acceder a los fondos del protocolo.
En junio de 2025, la empresa de seguridad blockchain Hacken reveló que una clave privada comprometida, vinculada a un contrato con privilegios de acuñación, permitió a un atacante crear 900 millones de tokens HAI en Ethereum y BNB Chain.
Hacken dijo que la clave se expuso mientras la compañía realizaba cambios arquitectónicos en su infraestructura de puente blockchain, lo que permitió al atacante obtener unos $250,000 antes de que se revocara la cuenta de acuñación afectada y se pausaran las operaciones del puente.
Investigaciones separadas también han seguido identificando la exposición de claves privadas como uno de los riesgos de seguridad más persistentes de la industria. Un informe de Hacken citado anteriormente por crypto.news encontró que las fallas de control de acceso, incluidas las filtraciones de claves privadas, representaron el 78% de las pérdidas por hackeos de criptomonedas registradas durante 2024.
Más recientemente, Zilliqa reveló una falla en su aplicación nativa de Ledger que podría permitir a los atacantes recuperar claves privadas a partir de firmas de transacciones públicas. La red suspendió las transacciones nativas de ZIL después de determinar que una debilidad en la generación de nonces hacía posible reconstruir las claves afectadas una vez que se habían recopilado suficientes firmas.
Zilliqa dijo que el problema se originó en su propia aplicación de Ledger y no en el hardware de Ledger en sí, e instruyó a los usuarios afectados a esperar las guías de recuperación en lugar de mover los fondos inmediatamente.
Investigadores académicos y actores de la industria criptográfica han advertido de manera similar que la seguridad de las claves privadas sigue siendo vulnerable fuera de los exploits tradicionales de contratos inteligentes.
Investigadores de la Universidad de California informaron a principios de este año que algunos servicios de enrutamiento de IA de terceros eran capaces de acceder a credenciales sensibles, incluidas claves privadas de criptomonedas y frases semilla, porque procesan las solicitudes de los usuarios en texto plano.
Durante pruebas controladas, los investigadores observaron un comportamiento malicioso de varios servicios de enrutamiento y demostraron que un intermediario drenó exitosamente Ether de una cartera de prueba después de recibir su clave privada.
Aunque el estudio universitario no estaba relacionado con el incidente de Swan Treasury, los investigadores concluyeron que los desarrolladores deberían evitar exponer claves privadas o frases semilla a sistemas intermediarios y, en su lugar, depender de protecciones criptográficas más sólidas para reducir los riesgos de robo de credenciales.
