Puente Ethereum de Ankr explotado por más de 303.000 dólares mediante un depósito de Optimism reutilizado
El puente cross-chain de Ethereum de Ankr perdió más de 303.000 dólares en cinco retiros no autorizados el 9 de noviembre, según Blockaid y el monitor on-chain Onchain Lens. El atacante reutilizó un pequeño depósito de Optimism que ya había sido canjeado, y el indicador de pausa del puente no estaba activado durante el período analizado.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Qué ocurrió
Un atacante drenó más de 303.000 dólares en criptoactivos del puente cross-chain de Ethereum de Ankr mediante cinco retiros el 9 de noviembre, según Crypto.news. Blockaid detectó por primera vez la actividad el lunes, con una estimación inicial de pérdidas de unos 292.000 dólares en las cinco transacciones, mientras que Onchain Lens informó una cifra inicial similar. Las fuentes difieren en el total final: la estimación inicial de Blockaid rondaba los 292.000 dólares, y un análisis posterior de los tokens retirados situó el valor combinado por encima de los 303.000 dólares.
Los retiros se realizaron entre las 3:09 y las 3:12 a. m. hora del Este (ET) y enviaron distintos tokens a una única cartera de destino. El componente más grande fue de unos 82,91 ankrETH, valorados en 216.370 dólares. Otros 515.206 tokens ankrPOL se valoraron en 56.372 dólares, y unos 7,98 millones de tokens ANKR en 30.857 dólares.
El depósito reutilizado
La explotación se centró en un depósito realizado a través de Optimism el 3 de noviembre, que involucraba 0,0044024803 ankrETH. Según el análisis de transacciones recogido por The Defiant y Crypto.news, ese depósito ya había sido canjeado en Ethereum el mismo día. Aun así, el atacante lo referenció en cinco nuevas solicitudes de retiro el 9 de noviembre, cada una con datos de recibo modificados que nombraban a un destinatario distinto, importes mayores y tokens diferentes.
Según el diseño del puente, un depósito completado no debería autorizar más retiros, y mucho menos de activos distintos. Sin embargo, las cinco transacciones superaron los controles del puente. La información disponible no establece cómo el atacante obtuvo una autorización válida, ni si el fallo estuvo en el proceso de firma, en la validación de recibos u otro componente.
Salvedades sobre la valoración y preguntas abiertas
La cifra de 303.000 dólares solo abarca tres activos con precio. También se transfirieron otros dos tokens, 5.372,25 aMATICb y 0,8196 aETHb, pero Etherscan no mostró precios para ellos en el momento de la evaluación, por lo que quedaron excluidos del total. Por tanto, la cifra es un mínimo del valor extraído, no un balance completo. Además, refleja el valor de mercado estimado y no lo que el atacante haya convertido en otros activos.
A las 3:49 a. m. (ET), el historial de transacciones del puente no mostraba actividad posterior a los retiros, pero su indicador público de pausa seguía en falso. La información no confirma si Ankr adoptó medidas adicionales de contención, y el alcance de la brecha sigue sin resolverse. Blockaid describió la explotación como en curso en el momento de su informe, un estado que las fuentes no actualizan.
Por qué importa
Para los traders
Quienes posean ANKR y tokens de staking líquido de Ankr deberían estar atentos al comunicado de contención de Ankr, ya que el indicador de pausa seguía desactivado durante el período analizado.
Para los inversores
Una explotación por reutilización de depósitos en un puente en funcionamiento plantea preguntas duraderas sobre los controles de verificación de Ankr, independientemente de cómo se recupere o compense finalmente la pérdida.
Para los desarrolladores
Todo puente que trate los recibos de depósito como de un solo uso debe aplicar un seguimiento de nonces o de recibos gastados en la cadena de destino, en lugar de depender únicamente de la atestación del backend.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
