- Según investigadores de seguridad, el ataque a Thetanuts se atribuyó a una falla en la lógica de redención del vault.
- Se informa que la mayor parte de los fondos robados fue recuperada mediante esfuerzos de whitehat, mientras que solo una porción menor fue convertida a ETH por el atacante.
- Thetanuts indica que sus productos actuales y contratos inteligentes no se vieron afectados por la explotación.
Thetanuts Finance, el protocolo de opciones DeFi, ha confirmado que ha sufrido una explotación que drenó 2,1 millones de dólares de una vault heredada vinculada a él.
Según Thetanuts, el contrato comprometido había sido obsoleto hace años.
La firma de seguridad blockchain PeckShieldAlert, que señaló el incidente antes de que Thetanuts confirmara la explotación, informó de que parecía que 2 millones de dólares en tokens de opciones habían sido recuperados a través de esfuerzos de whitehat.
Los fondos restantes, unos 105.000 dólares en USDC, fueron intercambiados por el explotador por aproximadamente 60 ETH, según el análisis on-chain de PeckShieldAlert. El atacante también posee 34.000 dólares en tokens de opciones denominados en USDC.
¿Qué llevó a la explotación de la vault heredada de Thetanuts Finance?
Una vulnerabilidad en la lógica de canje de la vault es la raíz de la explotación, según el investigador de seguridad ExVul, quien publicó un desglose en X.
Thetanuts Finance respondió en horas, escribiendo en X, “Nuestra investigación preliminar indica que esta es, una vez más, una vault obsoleta de la que migramos hace años.”
El protocolo declaró: “No tiene relación con ninguno de nuestros contratos o productos actuales”, mientras añadía que publicaría un informe pormenorizado una vez que reuniera más detalles.
El sistema de detección de explotaciones de Blockaid también detectó el ataque de forma independiente, emitiendo una alerta comunitaria que señalaba la explotación activa del contrato de Thetanuts en Ethereum. La plataforma de seguridad también compartió la dirección del explotador y la dirección del contrato explotado.
¿Están siendo atacados los protocolos obsoletos?
El incidente de Thetanuts se suma a una lista creciente de protocolos obsoletos que han sido atacados recientemente.
El más reciente, aparte de Thetanuts, es Aztec Connect, un puente de privacidad abandonado desde 2023, que perdió 2,1 millones de dólares a través de una vulnerabilidad de verificación separada en sus contratos inteligentes inmutables, según informó Cryptopolitan. En ese caso, el equipo había renunciado a todas las claves de administrador, dejando a nadie capaz de parchear o pausar el código.
Hasta ahora en el mes de junio, el valor total hackeado en términos de explotaciones DeFi ha superado los 46 millones de dólares, y estamos solo a mitad de mes. A este ritmo, podría rivalizar o superar a mayo, que vio su propia parte justa de brechas de protocolos.
Thetanuts ha intentado asegurar a sus usuarios de sus contratos actuales que no están en riesgo; sin embargo, los últimos eventos han dejado claro a los usuarios que el código abandonado no es código seguro, y lo mismo ocurre con los fondos vinculados a él.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Qué sucedió en la explotación de Thetanuts Finance?
Un atacante explotó una falla en las matemáticas de redención de un vault obsoleto de Thetanuts Finance en Ethereum, drenando aproximadamente 2,1 millones de dólares el 15 de junio de 2026. PeckShield reportó que alrededor de 2 millones de dólares en tokens de opciones fueron recuperados por un whitehat, mientras que el explotador intercambió unos 105.000 dólares en USDC por aproximadamente 60 ETH.
¿Los usuarios actuales de Thetanuts Finance se ven afectados?
No. Thetanuts Finance declaró que el vault explotado fue obsoleto hace años y "no tiene relación con ninguno de nuestros contratos o productos actuales", según el comunicado del equipo en X.
¿Cuál fue la vulnerabilidad que permitió el ataque?
El investigador de seguridad ExVul identificó que la causa raíz era un fallo en las matemáticas de canje de la bóveda heredada, que utilizaba una fórmula `backing * amount / totalSupply` para calcular los pagos por acciones, lo que permitió al atacante retirar más fondos de los que le correspondían.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
