Por Canuto  

Cinco retiros no autorizados sacaron activos del puente de Ankr en Ethereum, con un valor estimado superior a USD $303.000. El análisis del incidente apunta a que el atacante habría reutilizado un depósito pequeño de Optimism, aunque los datos disponibles no explican cómo consiguió la autorización requerida.
***

  • Blockaid reportó cinco retiros entre las 3:09 y las 3:12 a. m., hora del Este, que enviaron distintos tokens a una misma billetera.
  • El monto estimado supera los USD $303.000 en tres activos con precio disponible; otros dos tokens también salieron, pero no tenían cotización visible en Etherscan.
  • La mecánica exacta de la autorización sigue sin aclararse y Ankr no había respondido preguntas sobre el alcance, las medidas de seguridad ni posibles reembolsos.

El puente de Ethereum de Ankr registró cinco retiros no autorizados que habrían sustraído activos por más de USD $303.000. El análisis disponible vincula las operaciones con un depósito pequeño realizado en Optimism días antes, pero no determina cómo el atacante consiguió superar la autorización del puente.

Las transacciones ocurrieron el lunes 9 de noviembre, entre las 3:09 y las 3:12 a. m., hora del Este, y enviaron cinco tokens distintos a una misma billetera. La diferencia entre la estimación inicial, cercana a USD $292.000, y el cálculo posterior, superior a USD $303.000, responde a una revisión de los activos retirados y a la disponibilidad de precios para algunos de ellos.

Los retiros y el valor de los activos extraídos

Blockaid describió el caso como un exploit activo y señaló que el atacante presentó cinco solicitudes de retiro en el puente de Ankr en Ethereum. La firma indicó que un depósito pequeño en Optimism habría servido para desbloquear activos del contrato del puente y que los fondos terminaron en una billetera nueva; Onchain Lens también informó sobre las operaciones y difundió una estimación inicial de pérdidas similar.

El retiro de mayor valor correspondió a 82,91 ankrETH, valorados en aproximadamente USD $216.370. Las transacciones también sacaron 515.206 ankrPOL, con un valor estimado de USD $56.372, y cerca de 7,98 millones de ANKR, calculados en USD $30.857. En conjunto, esos tres activos suman alrededor de USD $303.600 según los precios disponibles durante la evaluación.

Las otras dos transferencias incluyeron 5.372,25 aMATICb y 0,8196 aETHb. Etherscan no mostraba precios para esos tokens cuando se calculó el monto de las pérdidas, por lo que la cifra de USD $303.600 no representa necesariamente el valor total de todo lo retirado ni permite saber cuánto habría obtenido el atacante al intercambiar los activos.

Los cinco retiros llevaron tokens diferentes a una misma dirección, y el historial del puente no mostró más actividad después de las operaciones sospechosas hasta las 3:49 a. m., hora del Este. En ese momento, la bandera pública de pausa del puente todavía aparecía como false, un dato que no permite concluir por sí solo si Ankr había implementado otras medidas para frenar nuevas transacciones.

El depósito previo y las dudas sobre la autorización

El análisis de las transacciones sitúa el origen del episodio en un depósito realizado mediante Optimism el 3 de noviembre. La operación involucró solo 0,0044024803 ankrETH y, de acuerdo con los registros examinados, ese depósito ya se había canjeado en Ethereum el mismo día. Seis días después, el atacante habría hecho referencia a él al presentar cinco nuevas solicitudes de retiro.

Cada solicitud contenía información de recibo modificada, con un destinatario diferente, montos superiores y tokens distintos a los de la transferencia original. Esa secuencia es el núcleo del presunto fallo: un depósito ya utilizado no debería permitir retiros repetidos de activos o cantidades diferentes, pero las transacciones reportadas sí lograron liberar tokens del contrato de Ethereum.

El puente de Ankr permite mover activos de liquid staking compatibles entre redes blockchain. En términos generales, un usuario deposita tokens en la cadena de origen y el servicio verifica la operación antes de autorizar que el activo correspondiente se libere en la red de destino; el mecanismo busca asegurar que cada retiro tenga respaldo en una transferencia válida.

La implementación del puente desplegada requiere la aprobación de un firmante designado antes de procesar retiros. Sin embargo, que las cinco solicitudes hayan sido aceptadas no aclara cómo consiguieron una autorización válida ni si la debilidad estuvo en el proceso de firma, en la comprobación de los recibos o en otro componente. La información publicada no identifica una causa técnica definitiva.

Alcance del incidente y respuesta pendiente

El incidente plantea preguntas sobre los contratos afectados y sobre si comparten infraestructura con otros productos de Ankr. La compañía ofrece servicios de liquid staking e infraestructura blockchain, incluidos servicios RPC, que permiten a aplicaciones comunicarse con distintas redes, pero no había confirmación de que el exploit comprometiera esa infraestructura ni las billeteras personales de los usuarios.

Los retiros reportados corresponden a activos guardados en el contrato afectado del puente de Ethereum, y la empresa todavía no había establecido públicamente el alcance completo del incidente. Al momento de la publicación, Ankr tampoco había respondido preguntas sobre qué servicios resultaron afectados, qué medidas de seguridad adoptaría o si contemplaba reembolsar a los usuarios.

La pausa pública del puente seguía figurando como false en la revisión inicial, aunque ese indicador no ofrece por sí solo una visión completa de las acciones internas de respuesta. La falta de una declaración de Ankr dejaba sin resolver si el servicio continuaba expuesto, si existían medidas adicionales de contención o qué proceso seguirían los titulares de los tokens retirados.

La diferencia entre los USD $292.000 de la estimación inicial y los más de USD $303.000 calculados después también requiere una lectura cuidadosa. El segundo monto se apoya en tres activos con precios visibles y no incluye una valoración de aMATICb ni aETHb, de modo que es una referencia de los activos cotizados y no una tasación exhaustiva de todas las transferencias.

Antecedentes de seguridad en puentes y productos de Ankr

El episodio se suma a un incidente distinto que Ankr enfrentó en agosto, relacionado con su infraestructura de liquid staking. Una vulnerabilidad en el contrato ankrFLOW permitió que un atacante creara millones de tokens sin respaldo y causó pérdidas de aproximadamente USD $410.000 a MORE Markets, según el reporte de crypto.news. Ese caso no demuestra que ambos sucesos compartan una causa técnica.

Otros operadores de puentes también han afrontado problemas de autorización o validación de transacciones. En octubre, Cysic suspendió su puente después de que un atacante presuntamente explotara debilidades de procesamiento para crear 10 millones de tokens CYS no autorizados en BNB Smart Chain, mientras que en agosto un operador de un puente de XRPL reportó la pérdida de 198.715,88 XRP por una lógica defectuosa de detección de depósitos.

En el caso de XRPL, el operador detuvo el puente afectado y presentó una queja ante el FBI mientras investigaba los retiros no autorizados. Estos antecedentes ofrecen contexto sobre los riesgos de los sistemas que validan depósitos y autorizan liberaciones entre cadenas, pero no prueban que los incidentes de Ankr, Cysic y XRPL estén relacionados ni que compartan vulnerabilidades.

Por ahora, la principal incógnita del caso de Ankr es cómo cinco solicitudes asociadas a un depósito ya canjeado superaron los controles del puente y llegaron a retirar activos distintos. La confirmación del alcance, una explicación técnica de la autorización y cualquier información sobre compensaciones dependerán de una actualización de la empresa, que todavía no había respondido al momento de la publicación.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados