- El sistema de pagos GANA en BSC fue explotado por más de 3,1 millones de dólares después de que un hacker alterara la propiedad del contrato y drenara los tokens.
- El atacante lavó fondos a través de Tornado Cash y puenteó activos entre BSC y Ethereum mientras el token de GANA colapsaba más del 90%.
- El incidente se suma a una serie creciente de hackeos a DeFi en 2025, con proyectos de BSC y protocolos cross-chain que sufrieron pérdidas significativas.
Un proyecto de pago descentralizado en Binance Smart Chain (BSC) llamado GANA Payment fue explotado alrededor de las 5:00 AM UTC el jueves, lo que resultó en pérdidas superiores a los 3,1 millones de dólares, según el investigador de blockchain ZachXBT.
Los hallazgos del investigador de criptomonedas mostraron que el atacante utilizó una vulnerabilidad en el contrato inteligente del proyecto para robar tokens. Luego los movió a través de Tornado Cash y otras redes para montar operaciones de lavado de dinero.
"El contrato de interacción de GANA ha sido objetivo de un ataque externo, lo que resultó en el robo no autorizado de activos… Continuaremos proporcionando actualizaciones sobre el progreso de la investigación y las acciones posteriores a través de los canales oficiales", escribió la plataforma DeFi en X más temprano hoy.
Varias plataformas de ciberseguridad en X, incluido OnChain Lens, informaron que la explotación comenzó cuando el atacante transfirió 1.140 BNB, valorados en aproximadamente 1,04 millones de dólares, a Tornado Cash en BSC.
Los activos robados fueron posteriormente puenteados a Ethereum, donde se depositaron otros 346 ETH, valorados en 1,05 millones de dólares, en el mezclador de criptomonedas supuestamente para lavado.
Los registros de blockchain compartidos por ZachXBT muestran que la dirección de Ethereum utilizada para el lavado era 0x7a503e3ab9433ebf13afb4f7f1793c25733b3cca. Las direcciones originales de robo en BSC fueron identificadas como 0x2e8a…aae5c38 y 0xd10e…cc8fa4d.
El hacker explotó la 'función de desvinculación' de GANA para robar monedas
Según la firma de seguridad Web3 HashDit, la propiedad del contrato explotado había sido alterada, lo que el hacker utilizó para manipular las tasas de recompensa e invocar la función de desvinculación, recibiendo más tokens GANA de lo previsto.
🚨Alerta de HashDit🚨
HashDit ha monitorizado que @GANA_PayFi ha sido comprometido por ~$3.1m $GANA.
Los usuarios NO deben negociar con el token $GANA por el momento, y esperar al anuncio del equipo.
Los fondos han sido depositados en TC: https://t.co/rtdjnMvYpI
Causa raíz: Propiedad de… pic.twitter.com/XZzuoMmf8D
— HashDit | ahora con Extensión Pro (@HashDit) 20 de noviembre de 2025
El perpetrador luego vendió rápidamente los tokens en exchanges descentralizados, devaluando significativamente la moneda del proyecto. Una cantidad total de 346 ETH mantenida en la dirección de Ethereum permaneció inactiva durante varias horas.
Sin embargo, hace una hora, el hacker reanudó el lavado de fondos a través de Tornado Cash en lotes incrementales de 1 ETH, 10 ETH y 100 ETH, un método utilizado por los ladrones durante los ataques DeFi para "sacudir" el rastro de los fondos robados por los investigadores de seguridad.
GANA Payment es un proyecto de token de pago de escala relativamente pequeña, construido en torno al token BEP-20 GANA. Sus operaciones son descentralizadas y utilizan pools de liquidez y exchanges, pero Cryptopolitan no ha encontrado documentación técnica disponible públicamente.
El proyecto, que se lanzó a principios de noviembre, aún no ha publicado auditorías formales ni análisis de seguridad detallados. Tras el hackeo, los datos de GeckoTerminal mostraron que el valor del token GANA cayó más del 90%.
Los exploits de DeFi en BSC y Ethereum se enfriaron en octubre
Según el rastreador de hackeos de DefiLlama, los proyectos más pequeños basados en BSC han perdido colectivamente más de 100 millones de dólares solo en 2025. El hackeo a GANA ha elevado la cifra a casi 10 millones de dólares en los últimos dos meses, incluyendo brechas de red en OlaXBT, Evoq Finance, Seedify y GriffinAI.
Cryptopolitan informó en octubre, las pérdidas totales por hackeos ascendieron a solo 18,18 millones de dólares en aproximadamente 15 incidentes, una caída del 85,7% respecto a los 127,06 millones de dólares de septiembre. Los incidentes principales que ocurrieron durante el mes incluyeron hackeos en Garden Finance, Typus Finance y Abracadabra, que juntos representaron 16,2 millones de dólares en fondos robados.
Abracadabra, un protocolo de préstamos descentralizado y creador del stablecoin Magic Internet Money (MIM), sufrió una pérdida de 1,8 millones de dólares cuando los atacantes aprovecharon fallos en la forma en que el contrato gestionaba acciones dentro de la misma transacción.
Typus Finance perdió 3,4 millones de dólares debido a debilidades en el control de acceso en su oráculo de precios personalizado, mientras que Garden Finance experimentó una pérdida de 11 millones de dólares a través de un único solver conectado a varias redes blockchain.
Este mes, Balancer fue alcanzado víctima de uno de los mayores hackeos de DeFi de 2025, donde ETH envuelto y otros activos de múltiples redes fueron sustraídos durante varias horas. Los investigadores de blockchain estimaron pérdidas de unos 70 millones de dólares, pero cuando los desarrolladores de la red recuperaron el control, las pérdidas ya superaban los 116 millones de dólares.
Al día siguiente, el protocolo de préstamos multicadena Moonwell fue explotó comprometido mediante datos de oráculo defectuosos, perdiendo alrededor de 1 millón de dólares. El atacante aprovechó las discrepancias de precios para tomar préstamos y operar con activos ETH envueltos específicos, obteniendo 295 ETH.
Según DefiLlama datos, los hackeos a puentes cross-chain en 2025 habían resultado en más de 1.500 millones de dólares en fondos robados a mediados de 2025, mientras que los errores de reentrada (reentrancy) representaron 325 millones de dólares en pérdidas, especialmente de contratos antiguos o bifurcados. La manipulación de oráculos representó el 13% de los ataques, mientras que los vaciamientos de pools de liquidez causaron 103 millones de dólares en activos robados.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
