Por Canuto  

Una falla en la lógica de retiro de b14g permitió que un atacante sacara 97 millones de CORE de 91 posiciones de staking en una sola transacción. La plataforma pausó los contratos afectados y sus socios congelaron parte de los fondos, mientras los BTC depositados permanecieron fuera del alcance del exploit.
***

  • Bitquery calculó que los 97 millones de CORE extraídos el 31 de octubre equivalían a unos USD $1,47 millones.
  • El atacante habría aprovechado solicitudes de retiro de cero CORE para vaciar 91 posiciones en una única transacción.
  • Al cierre del 31 de octubre, 68 millones de CORE seguían sin moverse y socios de b14g habían congelado cerca de 9 millones.

b14g pierde USD $1,47 millones en un exploit que aprovechó retiros de valor cero

La plataforma b14g sufrió el 31 de octubre un ataque que drenó unos 97 millones de CORE, valorados en aproximadamente USD $1,47 millones por la firma de análisis Bitquery. La brecha afectó los depósitos de CORE asociados a sus posiciones de staking, pero no los BTC comprometidos mediante el protocolo, que permanecieron bloqueados en la cadena de Bitcoin.

El ataque drenó 91 posiciones de staking

El atacante retiró 97 millones de CORE de 91 posiciones de staking mediante una sola transacción, según el análisis de Bitquery. La operación aprovechó solicitudes de retiro con valor cero, que el sistema procesó como una instrucción para liberar el saldo apostado en lugar de rechazarlas por no contener una cantidad positiva.

La cifra representa cerca de USD $1,47 millones, de acuerdo con la valoración citada por Bitquery. b14g confirmó que detectó retiros no autorizados y comunicó que pausó los contratos afectados mientras coordinaba la respuesta con el equipo de Core, socios de seguridad e intercambios.

El alcance reportado se limitó a los depósitos de CORE gestionados por la plataforma. b14g aclaró que el Bitcoin depositado a través del protocolo no resultó afectado y que esos BTC siguen bloqueados en la blockchain de Bitcoin, por lo que el incidente no equivale a una pérdida de los fondos de BTC apostados.

La distinción importa porque el servicio combina activos distintos dentro de una estrategia de staking: los usuarios pueden aportar BTC y CORE para acceder a recompensas mejoradas. En este caso, el exploit afectó el componente de CORE y las posiciones que lo mantenían, mientras el activo Bitcoin permaneció al margen del mecanismo vulnerable.

Una solicitud vacía activó el retiro del saldo completo

La investigación de Bitquery apunta a una interacción entre el mecanismo de retiro de b14g y los contratos de staking de Core. En condiciones normales, b14g administra posiciones que contienen CORE y delegan esos tokens a validadores; sin embargo, el sistema de Core interpreta una solicitud de retiro de cero tokens como una orden para retirar el saldo completo de la posición.

El atacante habría enviado 99 solicitudes de retiro de valor cero contra posiciones que no había financiado. En vez de rechazar las peticiones por falta de autorización o de fondos aportados por quien las enviaba, el contrato de b14g las aceptó y transmitió las instrucciones al sistema de staking de Core, que liberó aproximadamente 97 millones de CORE.

Bitquery situó el inicio del ataque a las 09:29 UTC y señaló que los tokens pasaron a una billetera bajo control del atacante. La firma no encontró indicios de que la operación requiriera una clave de administrador comprometida ni de que el atacante desplegara un contrato malicioso nuevo para ejecutar el drenaje.

Según el análisis, la lógica relacionada con los retiros llevaba unos 17 meses en funcionamiento. Bitquery advirtió, no obstante, que no revisó el código fuente subyacente de b14g y que no podía identificar el error de programación exacto que permitió procesar las solicitudes no autorizadas, por lo que su informe describe el comportamiento observado sin atribuir una causa de código definitiva.

El rastreo identificó movimientos hacia varias direcciones

Los registros de la cadena muestran que b14g pausó los contratos afectados a las 10:35 UTC, unos 66 minutos después de la primera transacción identificada por Bitquery. La plataforma dijo que detuvo los contratos inmediatamente después de identificar el incidente, aunque la cronología pública no permite establecer en qué momento exacto descubrió el ataque.

Durante ese intervalo, el atacante transfirió 23 millones de CORE desde la billetera inicial a través de varias direcciones recién creadas. Ese movimiento ocurrió antes de que b14g pausara los contratos, pero los datos disponibles no permiten concluir por sí solos qué información tenía la plataforma en cada momento de ese periodo.

El rastreo también encontró fondos que pasaron por direcciones intermediarias vinculadas con infraestructura asociada a Bybit, Gate.io y MEXC. Bitquery identificó, además, un servicio que suministró las tarifas de la transacción inicial al atacante, recibió después cerca de 11 millones de CORE y los envió a una dirección de depósito de MEXC.

La firma señaló que algunas direcciones intermediarias también gestionaban activos de otros clientes, una circunstancia que dificulta atribuir cada transferencia posterior directamente al atacante. Por eso, la presencia de movimientos a través de infraestructura asociada con intercambios no demuestra por sí misma que cada plataforma haya recibido o controlado la totalidad de los tokens robados.

Fondos congelados y una compensación todavía pendiente

Para la noche del 31 de octubre, unos 68 millones de CORE, equivalentes al 70% de los tokens sustraídos, permanecían sin movimiento en tres billeteras. Por separado, b14g informó que sus socios de intercambio habían congelado aproximadamente 9 millones de CORE vinculados con el atacante, aunque la plataforma no detalló un plan de compensación para los depositantes afectados.

Core DAO sostuvo que la blockchain subyacente no fue comprometida y que el consenso, los validadores y los contratos de staking de la red siguieron operando con normalidad durante el incidente. También indicó que los CORE apostados directamente con validadores o mediante otros protocolos no resultaron afectados, una precisión que limita el alcance comunicado a b14g.

La respuesta separa el funcionamiento de la red de la seguridad de una aplicación que interactúa con ella: que la blockchain continúe operando no impide que un contrato o una integración específica procese una instrucción de forma inesperada. En este caso, el comportamiento descrito en los retiros fue el punto de entrada señalado por Bitquery, aunque todavía falta la explicación técnica completa de b14g.

b14g prometió publicar un informe post mortem con la causa técnica del exploit, el alcance de las pérdidas de los usuarios y los próximos pasos para los depositantes afectados. Hasta la información disponible, la plataforma no había anunciado cómo compensaría las pérdidas, de modo que la recuperación de los fondos y las medidas para los usuarios siguen pendientes de aclaración.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados