Por Canuto  

Una vulnerabilidad de tres años en Radix Engine permitió retirar aproximadamente USD $1,26 millones de bóvedas de usuarios, aplicaciones y pools de liquidez sin firmas privadas. El incidente obligó a los validadores a detener la red durante más de 10 días y expuso límites en las auditorías, los controles de emergencia y la revisión de código asistida por inteligencia artificial.
***

  • El atacante ejecutó 26 transacciones y retiró USDC, USDT, ETH, Bitcoin envuelto, SOL, BNB y XRD.
  • Los validadores retiraron suficiente participación para impedir el consenso mientras se desarrollaba una corrección.
  • Radix atribuyó el defecto a una limpieza de código de 2023 y anunció nuevas pruebas de regresión y controles de seguridad.

 

Una vulnerabilidad que permaneció oculta durante más de tres años en Radix Engine permitió el robo de aproximadamente USD $1,26 millones y forzó la interrupción de la red Radix durante más de 10 días. El atacante aprovechó un defecto de autorización para acceder a bóvedas pertenecientes a usuarios, aplicaciones y pools de liquidez sin obtener las firmas de sus propietarios, según la reconstrucción del libro mayor citada por KuCoin. La plataforma señaló que el incidente comenzó el 31 de agosto y que las transacciones de usuarios se reanudaron el 11 de septiembre.

El ataque y los activos retirados

La reconstrucción comunitaria del libro mayor identificó 26 transacciones relacionadas con la explotación, en las que el atacante retiró activos puente almacenados en distintas bóvedas de la red. Entre ellos figuraron aproximadamente 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 unidades de Bitcoin envuelto, 536,16 SOL y 32,91 BNB, con un valor conjunto cercano a USD $1,26 millones al utilizar los precios de mercado del 31 de agosto.

Las dos stablecoins representaban alrededor de USD $531.335, una concentración relevante dentro del botín total, mientras que el atacante también tomó aproximadamente 13.000 XRD para cubrir las tarifas de transacción. Después, los fondos pasaron a través de Hyperlane hacia Ethereum, BNB Chain y Solana, un movimiento que Radix describió como compatible con el funcionamiento previsto del protocolo de interoperabilidad.

Radix indicó que el atacante posteriormente vendió los activos por ETH, aunque la información disponible no atribuye a Hyperlane una falla ni una participación indebida en el robo. La Fundación Radix sostuvo que no se comprometieron claves privadas, porque el acceso se produjo mediante una vulnerabilidad lógica que permitía manipular referencias internas de bóvedas dentro de las transacciones, informa KuCoin.

El incidente también produjo pérdidas secundarias en pools de liquidez, después de que los activos puente fueran retirados de uno de los lados de varios pares de negociación. La distorsión de precios abrió una oportunidad para que otra cuenta extrajera millones de XRD de los pools afectados, ampliando el impacto más allá de los activos sustraídos directamente por el primer atacante.

Una falla de autorización en el motor

La Fundación Radix atribuyó el defecto a un equipo de desarrollo de RDX Works que introdujo el problema durante una limpieza de Radix Engine en junio de 2023. La falla quedó sin detectar durante más de tres años, hasta que fue explotada el 31 de agosto, lo que evidencia cómo una modificación aparentemente rutinaria puede alterar controles fundamentales en una infraestructura de contratos inteligentes.

El error permitía que una transacción identificara la bóveda de otro usuario mediante su dirección interna y entregara esa referencia a código de contrato inteligente. Radix Engine aceptaba después funciones ordinarias de retiro sin aplicar correctamente el límite de propiedad que debía impedir que una cuenta utilizara recursos pertenecientes a otra.

Los investigadores concluyeron que el defecto podía utilizarse contra cualquier bóveda de la red, no solamente contra las que contenían los activos puente atacados. Por esa razón, la exposición potencial incluía tokens y otros activos que no llegaron a ser retirados durante el episodio, además de los fondos que estaban depositados en cuentas, aplicaciones y pools de liquidez.

Zellic había auditado el protocolo Radix en 2024, incluida la parte del kernel de Radix Engine que contenía el defecto, pero su revisión no detectó la vulnerabilidad de autorización. El resultado no demuestra por sí solo que una auditoría carezca de utilidad, aunque sí muestra que las revisiones de seguridad pueden pasar por alto interacciones entre referencias internas, permisos de propiedad y funciones aparentemente normales de retiro.

La respuesta de los validadores y los próximos controles

Los validadores retiraron suficiente participación para impedir que la red alcanzara el consenso, una medida que detuvo nuevas transacciones mientras los desarrolladores preparaban una corrección. La interrupción se prolongó durante más de 10 días y convirtió el incidente en una crisis operativa, además de una pérdida financiera, porque los usuarios no pudieron utilizar normalmente la cadena durante ese periodo.

La corrección de protocolo bloqueó el uso de referencias restringidas de bóvedas en retiros ordinarios y permitió restablecer las operaciones de los usuarios el 11 de septiembre. La reconstrucción comunitaria del libro mayor utilizó esa fecha para identificar el reinicio de las transacciones, mientras la red avanzaba con una versión corregida del comportamiento de autorización.

Radix afirmó que añadirá pruebas de regresión y fortalecerá su proceso de revisión de seguridad para reducir el riesgo de que una modificación futura reintroduzca un problema similar. La Fundación también dijo que formalizará el procedimiento de emergencia empleado por los validadores para interrumpir la operatividad de la red, un mecanismo que hasta ahora quedó puesto a prueba por el incidente real.

La Fundación Radix planteó además que el trabajo de seguridad deberá considerar herramientas de análisis de código asistidas por inteligencia artificial, debido a la creciente capacidad de esos sistemas para identificar patrones complejos. Su evaluación fue que herramientas cada vez más capaces podrían haber ayudado al atacante a localizar el defecto años atrás, una advertencia que obliga a los desarrolladores a tratar la IA como apoyo defensivo y como una capacidad que también puede acelerar la búsqueda ofensiva.

El caso deja una tensión central para las redes con activos programables: la ausencia de claves privadas comprometidas no evita que un error de lógica permita mover fondos. La combinación de auditorías que no detectaron el defecto, una interrupción prolongada y pérdidas adicionales en mercados de liquidez muestra que la seguridad debe cubrir tanto el código como la respuesta coordinada ante emergencias.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados