Por Canuto  

Rocket suspendió depósitos, retiros y operaciones después de que un atacante explotara un mercado perpetuo inactivo, generara ganancias artificiales mediante auto-trading y retirara cerca de USD $287.000. La plataforma busca rastrear los fondos mientras prepara un plan de recuperación que priorizaría a las cuentas más pequeñas.
***

  • Un atacante manipuló un mercado perpetuo inactivo de Rocket con órdenes infladas y operaciones contra sí mismo.
  • Rocket pausó depósitos, retiros y trading mientras empresas de seguridad y autoridades investigan el incidente del 5 de septiembre de 2026.
  • La plataforma coordina con exchanges, bridges y emisores de stablecoins para rastrear y congelar los fondos, además de preparar reembolsos.

Rocket suspendió los depósitos, retiros y operaciones de su plataforma después de que un atacante manipulara un mercado perpetuo inactivo y retirara aproximadamente USD $287.000 a través del Bridge de Rocket. El incidente, ocurrido el 5 de septiembre de 2026, expuso los riesgos que enfrentan los mercados de derivados con poca actividad, donde órdenes artificiales pueden distorsionar los precios y trasladar las pérdidas a otros participantes.

De acuerdo con una actualización publicada por Rocket el 7 de septiembre, la actividad comenzó cerca de las 19:00 UTC mediante una cuenta desechable. El atacante habría utilizado esa cuenta para colocar órdenes a precios inflados y ejecutar operaciones contra sí mismo, con lo que creó un saldo positivo en otra cuenta mientras la primera acumulaba pérdidas hasta quedar insolvente.

La operación generó ganancias artificiales

Los mercados perpetuos permiten abrir posiciones sobre el precio de un activo sin una fecha fija de vencimiento, normalmente mediante mecanismos de margen, liquidación y cálculo de ganancias y pérdidas. Cuando uno de estos mercados registra poca liquidez o permanece inactivo, una operación coordinada puede tener un efecto desproporcionado sobre el precio de referencia y sobre la valoración de las posiciones abiertas.

En el caso de Rocket, el atacante no necesitó depender, según el relato inicial de la plataforma, de una vulnerabilidad identificada en un contrato inteligente. La estrategia consistió en publicar órdenes con valores artificialmente elevados y actuar como ambas partes de las transacciones, de modo que una cuenta recibiera ganancias aparentes mientras la cuenta desechable absorbía las pérdidas correspondientes.

La cuenta que acumuló el saldo positivo retiró posteriormente cerca de USD $287.000 a través del Bridge de Rocket. La diferencia quedó como una pérdida que la plataforma describió como socializada, lo que implica que el impacto podría distribuirse entre otros participantes o recursos del sistema, aunque Rocket todavía no ha informado cuántos usuarios quedaron expuestos.

El rastreador de seguridad blockchain SlowMist clasificó el episodio como un ataque de manipulación de precios y registró una pérdida de USD $287.000. Este tipo de incidente guarda similitudes con casos anteriores en mercados perpetuos de baja liquidez, en los que un operador altera precios o posiciones y termina transfiriendo el costo a proveedores de liquidez, bóvedas u otras partes de la plataforma.

Rocket mantiene sus servicios suspendidos

Rocket indicó que mantiene pausados los depósitos, los retiros y el trading mientras su equipo analiza las transacciones y las consecuencias del ataque. La plataforma no ofreció un cronograma para reactivar los servicios ni explicó qué controles adicionales aplicará antes de permitir nuevamente la entrada o salida de fondos.

La suspensión busca limitar nuevos movimientos mientras se determina el alcance de la manipulación y se intenta impedir que el dinero retirado avance hacia otros protocolos. Sin embargo, Rocket tampoco ha confirmado si alguna parte de los USD $287.000 fue congelada o recuperada, por lo que el resultado de esas gestiones todavía permanece abierto.

La plataforma dijo que trabaja con empresas de seguridad y autoridades policiales para investigar el incidente, aunque no reveló los nombres de las organizaciones involucradas. También señaló que coordina con exchanges de criptomonedas, bridges entre cadenas y emisores de stablecoins para seguir el recorrido de los activos y tratar de bloquearlos cuando lleguen a servicios con capacidad de congelamiento.

La cooperación entre distintos actores suele ser determinante cuando los fondos pasan rápidamente de una red a otra o se convierten en activos estables y luego en otros tokens. Rocket no ha detallado qué direcciones analiza, qué redes están involucradas ni si las empresas contactadas identificaron movimientos posteriores a la retirada inicial.

Un riesgo conocido en mercados de baja liquidez

El episodio recuerda el caso del mercado perpetuo de JELLY en Hyperliquid, ocurrido en marzo de 2025, cuando un trader abrió una posición corta considerable mientras compraba el token en exchanges descentralizados. El repunte del precio llevó la posición corta hacia la liquidación y trasladó finalmente esa exposición a la bóveda de liquidez de Hyperliquid.

En aquella ocasión, Hyperliquid restringió las cuentas del trader a operaciones de solo reducción antes de que sus validadores votaran por retirar el mercado perpetuo de JELLY y liquidar las posiciones pendientes. Aunque cada incidente tiene características propias, ambos casos muestran cómo una combinación de baja liquidez, posiciones apalancadas y mecanismos automáticos puede amplificar una operación diseñada para aprovechar las reglas del mercado.

Otro incidente registrado en Hyperliquid durante marzo de 2025 hizo que su bóveda HLP absorbiera aproximadamente USD $4 millones en pérdidas, después de que un trader retirara el colateral de una posición de ETH altamente apalancada antes de la liquidación. Hyperliquid sostuvo entonces que el episodio no constituía un exploit del protocolo y posteriormente modificó los requisitos de apalancamiento para posiciones de BTC y ETH.

La comparación no demuestra que Rocket haya utilizado los mismos mecanismos ni que exista una falla compartida entre las plataformas. Sí aporta contexto sobre un problema recurrente en los derivados cripto: cuando la liquidez es limitada, los modelos de valoración y liquidación pueden quedar expuestos a operaciones que no reflejan una demanda orgánica del mercado.

El plan de recuperación aún no tiene calendario

Rocket afirmó que prepara un plan de recuperación para los usuarios afectados y que las cuentas más pequeñas tendrían prioridad cuando comiencen los reembolsos. El equipo reconoció que la compensación es la principal expectativa de quienes enfrentan el impacto, pero señaló que publicará los detalles solo cuando pueda hacerlo de manera responsable.

Por ahora, la plataforma no ha informado cuánto dinero tiene disponible para ese plan, qué requisitos definirán la elegibilidad, qué método utilizará para pagar ni cuándo comenzarán las distribuciones. Tampoco anunció una recompensa para el atacante ni ofreció términos de devolución directa, por lo que sus esfuerzos permanecen concentrados en rastrear los fondos y diseñar el mecanismo de compensación.

Los antecedentes de otros protocolos muestran que las respuestas pueden variar considerablemente. GMX completó en agosto de 2025 un plan de compensación de aproximadamente USD $44 millones para proveedores de liquidez afectados por un exploit en su pool GLP V1, utilizó tokens GLV para las distribuciones y recurrió a la tesorería de su DAO para cubrir un faltante de USD $2 millones.

Antes de ese proceso, el atacante de GMX había devuelto aproximadamente USD $37,5 millones de los cerca de USD $42 millones sustraídos, después de que el protocolo ofreciera una recompensa white-hat equivalente al 10%. Rocket no ha indicado que vaya a adoptar una estrategia similar, de modo que cualquier recuperación dependerá por ahora de la cooperación de intermediarios, de las investigaciones y de la capacidad para localizar los activos.

La plataforma advirtió además sobre posibles suplantadores que intenten aprovechar la confusión para contactar a los usuarios. Rocket dijo que las instrucciones de recuperación se divulgarán únicamente mediante sus canales oficiales y que los miembros del equipo no iniciarán conversaciones privadas con las personas afectadas.

Mientras continúe la suspensión, los usuarios deberán esperar nuevas comunicaciones antes de intentar mover fondos o entregar información personal a terceros. El desenlace dependerá de si Rocket logra congelar parte de los USD $287.000, cuantificar con precisión la pérdida socializada y presentar un plan de reembolso verificable.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados