Una red que imitaba la futura mainnet de GIWA convenció a 1.333 billeteras de depositar 767 ETH. Los operadores drenaron 766 ETH en una sola transacción. Stablemark rastreó parte de los fondos y DYORSWAP anunció una compensación parcial para algunas de las direcciones afectadas.
***

• Los atacantes usaron el Chain ID 9134 y un puente falso para atraer 767 ETH, por un valor aproximado de USD $2 millones.
• Stablemark informó que 177 ETH pasaron por Tornado Cash y que otros 589 ETH seguían repartidos en cuatro billeteras.
• DYORSWAP ofrece compensar con el 40% a las direcciones que enviaron menos de 5 ETH, mientras revisa por separado las reclamaciones por montos mayores.

🚨 Falsa red de GIWA drenó casi USD $2 millones

1.333 billeteras depositaron 767 ETH en una red no oficial. Los operadores retiraron 766 ETH en una sola transacción.

GIWA aún no había lanzado su mainnet. DYORSWAP anunció compensar el 40% a algunas víctimas. pic.twitter.com/DnnLKeJoEM

— Diario฿itcoin (@DiarioBitcoin) September 28, 2026

La falsa red de GIWA atrajo 767 ETH antes de un robo de USD $2 millones

Una infraestructura que imitaba la futura blockchain de GIWA convenció a 1.333 billeteras de depositar 767 ETH, cerca de USD $2 millones, antes de que los operadores vaciaran casi todos los fondos. El engaño combinó un Chain ID esperado, un endpoint RPC y un puente que aparentaban pertenecer a la red de capa 2 vinculada a Upbit, aunque la mainnet todavía no estaba activa.

Una red convincente, pero no oficial

Los estafadores montaron una blockchain que se presentaba como la mainnet de GIWA, una red de capa 2 de Ethereum que desarrolla Dunamu, operador de Upbit, junto con infraestructura de Optimism. La imitación incluía un endpoint RPC, un puente entre cadenas y el Chain ID 9134, número previsto para la mainnet. Esa combinación dio a la operación una apariencia técnica coherente para quienes verificaban la red antes de interactuar con ella.

Sin embargo, GIWA no había puesto en marcha su red de producción. El proyecto negó que se hubiera filtrado un RPC de mainnet y aclaró que ese endpoint no existía. Su documentación solo mencionaba GIWA Sepolia, una red de pruebas que usa el Chain ID 91342, y señalaba que la mainnet seguía en desarrollo. Por ello, cualquier servicio que afirmara conectarse a una mainnet activa de GIWA no era oficial.

DYORSWAP, cuya comunidad interactuó inicialmente con la supuesta red, confirmó después que la cadena era fraudulenta y pidió a los usuarios no utilizar sus endpoints RPC, puentes ni contratos. El proyecto señaló que el Chain ID 9134 coincidía con el previsto para GIWA y que esa coincidencia hizo que la red pareciera legítima durante una revisión inicial. También dijo haber identificado mensajes y personas sospechosas en la comunidad relacionada, aunque no afirmó que su vínculo con el fraude estuviera probado.

El episodio muestra una distinción importante en las redes compatibles con Ethereum: el Chain ID ayuda a una billetera a reconocer a qué red intenta conectarse, pero no certifica quién controla el RPC ni quién administra el puente. Si esos componentes los maneja un tercero malicioso, una identificación aparentemente correcta no impide que la infraestructura dirija los depósitos a contratos bajo control de los atacantes. En este caso, la falsa consistencia técnica ayudó a presentar como operativa una mainnet que GIWA aún no había lanzado.

Depósitos acumulados antes del drenaje

El analista de blockchain Stablemark indicó que las billeteras vinculadas a la operación recibieron fondos a través de ChangeHero el 26 de septiembre. Alrededor de 11 horas después, entraron en funcionamiento la billetera Safe que controlaba el esquema y el puente falso. Esa preparación precedió a una ventana de aproximadamente 13 horas en la que 1.333 billeteras depositaron conjuntamente 767 ETH.

Una vez reunidos los depósitos, los operadores cambiaron el código del portal del puente y retiraron 766 ETH en una sola transacción, según el análisis de Stablemark. La secuencia sugiere que el servicio permaneció disponible mientras recibía fondos y que sus responsables modificaron después el control del portal para ejecutar el drenaje. La diferencia entre lo depositado y lo retirado fue de 1 ETH, aunque la información publicada no detalla qué ocurrió con ese saldo restante.

El monto sustraído equivalía a cerca de USD $2 millones, de acuerdo con la estimación difundida sobre el caso. El recuento de billeteras y la duración de los depósitos describen una operación que no se limitó a un retiro aislado: la infraestructura captó fondos de numerosos usuarios antes de ejecutar la transacción que concentró la mayor parte del dinero. Los datos disponibles atribuyen esas cifras al análisis en cadena, pero no identifican públicamente a los responsables.

Stablemark también señaló que las billeteras relacionadas con la operación recibieron fondos antes de que el puente comenzara a funcionar, una secuencia que ayuda a reconstruir la preparación técnica del fraude. La observación no prueba por sí misma quién creó la infraestructura ni cómo se difundió cada enlace entre los usuarios. Sí permite ordenar los hitos conocidos: financiación inicial el 26 de septiembre, activación de los componentes controlados por el esquema y, posteriormente, depósitos durante unas 13 horas.

Seguimiento de los fondos y compensaciones

Tras el drenaje, parte del ETH comenzó a moverse. Stablemark informó que 177 ETH fueron encaminados a través de Tornado Cash, un servicio que puede dificultar el seguimiento posterior de los fondos, mientras que otros 589 ETH seguían distribuidos en cuatro billeteras al momento de su actualización. Esas cantidades suman los 766 ETH retirados, aunque su localización visible en cadena no garantiza que puedan recuperarse.

La permanencia de esos 589 ETH en cuatro direcciones dejaba una parte importante del monto robado rastreable en ese momento, pero la situación podía cambiar con nuevas transferencias. La información publicada no confirma que se haya congelado dinero ni que exista una recuperación ya concretada.

DYORSWAP anunció una compensación para algunas de las personas afectadas después de revisar las direcciones involucradas. Las direcciones que enviaron menos de 5 ETH a través del puente recibirían una compensación equivalente al 40% del monto transferido, según los términos comunicados por el proyecto. La propuesta aplica sin importar si los fondos se utilizaron posteriormente en transacciones, pero no cubre la totalidad de las pérdidas.

Las reclamaciones por más de 5 ETH se tratarían por separado y requerirían verificar la identidad y la dirección, explicó DYORSWAP. El proyecto justificó esa revisión al señalar que algunas billeteras con montos mayores podrían estar vinculadas a phishing u otra actividad fraudulenta; no presentó esa posibilidad como una conclusión definitiva sobre cada caso. También publicó una dirección para distribuir los pagos y pidió a las víctimas comprobarla en sus canales oficiales, ante el riesgo de que aparezcan solicitudes falsas de reembolso.

Qué revela el caso sobre la verificación de redes

Dunamu y la Optimism Foundation anunciaron en mayo que GIWA se proyectaba como la primera cadena Self-Managed OP Enterprise. El diseño previsto permitiría a Upbit conservar el control operativo, mientras Optimism aportaría infraestructura de respaldo y soporte. Ese contexto ayuda a entender por qué una supuesta mainnet de GIWA podía resultar verosímil para usuarios que conocían el proyecto, pero no convierte la red fraudulenta en una extensión oficial de esos planes.

La iniciativa se desarrolla sobre OP Stack, el conjunto de herramientas de Optimism para crear redes de capa 2 compatibles con Ethereum. En una configuración de este tipo, los usuarios pueden interactuar con servicios como billeteras, RPC y puentes para mover activos entre redes, pero la utilidad de esos componentes depende de que correspondan a endpoints y contratos legítimos. Un identificador de red, por sí solo, no sustituye la comprobación de esas fuentes oficiales.

DYORSWAP dijo que preservaba registros RPC, direcciones de los puentes, datos de transacciones y comunicaciones de la comunidad mientras se reconstruía cómo circuló la red fraudulenta. Esos elementos pueden ayudar a ordenar los contactos y movimientos asociados con el caso, aunque la información publicada no detalló quiénes investigan formalmente ni anticipó un resultado sobre la identidad de los atacantes. Tampoco se informó de una recuperación completa de los fondos.

Para los usuarios, el punto central no es únicamente detectar si un Chain ID parece correcto, sino confirmar que la billetera se conecta al RPC oficial y que el puente y los contratos figuran en la documentación auténtica del proyecto. GIWA indicó que su red de producción no estaba activa y que la documentación disponible apuntaba a GIWA Sepolia; DYORSWAP, por su parte, alertó sobre los servicios no oficiales. Mientras las billeteras afectadas tramitan las compensaciones anunciadas, el destino de los fondos restantes y la reconstrucción de la operación siguen siendo asuntos abiertos.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín