Flow desglosa la explotación de $3.9M en un informe completo post-incidente

Flow publicó un informe post-incidente el 6 de enero de 2026, discutiendo la causa raíz de su explotación de 3,9 millones de dólares.

Un atacante explotó una vulnerabilidad de confusión de tipos en el tiempo de ejecución de Cadence para forjar tokens. Flow dijo que no se accedió ni comprometió ningún saldo de usuario existente.

Flow identifica la vulnerabilidad de confusión de tipos como causa raíz de la explotación

Se encontró que una vulnerabilidad de confusión de tipos era la causa principal por Flow. La vulnerabilidad hizo posible que el atacante evadiera las comprobaciones de seguridad en tiempo de ejecución disfrazando un activo protegido como una estructura de datos regular. El atacante coordinó la ejecución de aproximadamente 40 contratos inteligentes maliciosos.

El ataque comenzó en la altura de bloque 137.363.398 el 26 de diciembre de 2025, a las 23:25 PST. Minutos después del primer despliegue, comenzó la producción de tokens falsificados. El atacante utilizó estructuras de datos estándar que son replicables para disfrazar activos protegidos que deberían ser incopiables. Aprovechando las semánticas solo-mover de Cadence, esto hizo posible la falsificación de tokens.

Cadence y un entorno totalmente equivalente a EVM son los dos entornos de programación integrados que gestiona Flow. En este caso, la vulnerabilidad explotó contra Cadence.

Caída de la red en menos de seis horas desde la transacción maliciosa inicial

El 27 de diciembre, en la altura de bloque 137.390.190, los validadores de Flow iniciaron una pausa coordinada de la red a las 05:23 PST. Se cortaron todas las vías de escape y la detención se produjo menos de seis horas después de la transacción maliciosa inicial.

El FLOW falsificado se estaba transfiriendo a cuentas de depósito de exchanges centralizados el 26 de diciembre a las 23:42 PST. Debido a su tamaño e irregularidad, la mayoría de las transferencias grandes de FLOW enviadas a los exchanges fueron congeladas al recibirlas. A partir de las 00:06 PST del 27 de diciembre, algunos activos fueron puenteados fuera de la red utilizando Celer, deBridge y Stargate.

A las 01:30 PST se detectaron las primeras señales de anomalía. En ese momento, los depósitos de los exchanges se correlacionaron con movimientos anómalos de FLOW entre máquinas virtuales. A medida que se liquidaba el FLOW falsificado a partir de la 1:00 PST, los exchanges centralizados enfrentaron una fuerte presión de venta.

Los exchanges devuelven 484 millones de tokens FLOW falsificados

Según Flow, el atacante depositó 1.094 mil millones de FLOW falso en varios exchanges centralizados. Los socios de exchanges Gate.io, MEXC y OKX devolvieron 484.434.923 FLOW, que fue destruido. El 98,7 % del suministro restante de productos falsos ha sido aislado en cadena y está en proceso de ser destruido. Se anticipa una resolución completa en 30 días, y la coordinación con otros socios de exchanges aún está en progreso.

Después de que la comunidad evaluó varias opciones de recuperación, incluyendo restauración de checkpoint, se eligió la estrategia de recuperación. Flow realizó consultas a nivel de ecosistema con socios de infraestructura, operadores de puentes y exchanges.

La vulnerabilidad de 3,9 millones de dólares de Flow ocurrió dentro de un patrón similar de incidentes de seguridad que afectaron a protocolos de criptomonedas a finales de diciembre de 2025 y principios de enero de 2026. BtcTurk sufrió una brecha en su billetera caliente por 48 millones de dólares el 1 de enero de 2026. Los hackers comprometieron la infraestructura de la billetera caliente del exchange centralizado y desviaron fondos a través de Ethereum, Arbitrum, Polygon y otras cadenas.

Binance experimentó un incidente de manipulación de cuentas de market makers el 1 de enero con el token BROCCOLI.