Hyperbridge actualiza la pérdida de explotación a 2,5 millones de dólares, admitiendo una subestimación de 10 veces
- Hyperbridge ha revisado sus pérdidas por exploits, pasándolas de aproximadamente 237.000 dólares a 2,5 millones de dólares.
- El ataque se desarrolló en dos fases: una extracción de 245 ETH de un contrato TokenGateway, seguida de la emisión de mil millones de tokens DOT puenteados gracias a una prueba falsificada.
- Una gran parte de los fondos robados ha sido rastreada en la cadena y derivada a Binance.
Hyperbridge pasó los últimos tres días diciendo al mercado que el daño sufrido por su pérdida del 13 de abril era manejable. Pero en su actualización de recuperación de hoy, 16 de abril, reveló que la estimación inicial de la pérdida, que se calculó en 237.000 dólares, fue en realidad de alrededor de 2,5 millones de dólares.
Esa recálculo casi de 10 veces ha elevado la gravedad de la explotación en varios niveles, agravado por el hecho de que este es un incidente multicanal sin un plazo de recuperación a la vista. También ocurre tras la broma del Día de los Inocentes de Hyperbridge, donde afirmó que había sido hackeado por el Grupo Lazarus.
¿Cómo pasó $237,000 a ser $2.5 millones?
La cifra de 237.000 dólares que circulaba en fuentes de noticias se basaba únicamente en la pérdida observable de tokens Polkadot (DOT) vinculados en Ethereum. Resulta que esa fue solo la parte más visible de un ataque que ya estaba en marcha durante casi una hora antes de que desaparecieran los 237.000 dólares.
Según la actualización completa de Hyperbridge blog post, la explotación ocurrió en dos fases. La primera fase fue una extracción silenciosa, moviendo casi 245 ETH desde un contrato TokenGateway relacionado antes de que comenzara la segunda fase.
Una hora después, un mensaje falso entre cadenas evadió la lógica de verificación de pruebas de Rango de Montaña Merkle de Hyperbridge, otorgando así al hacker el control administrativo sobre el contrato de tokens DOT vinculados y permitiéndole acuñar aproximadamente 1.000 millones de tokens DOT vinculados, que posteriormente fueron volcados en otros intercambios descentralizados.
La causa raíz confirmada del ataque, según lo identificado por BlockSec Phalcon fue una falta de verificación de límites en la función VerifyProof() del contrato Handler V1 de Hyperbridge, escrito hace más de dos años.
La cifra inicial de 237.000 dólares tampoco tuvo en cuenta las pérdidas de los pools de incentivos que operaban en las cuatro cadenas EVM afectadas.
Después de que Hyperbridge registrara toda la actividad del atacante en Ethereum, Base, BNB Chain y Arbitrum, la estructura de dos fases del ataque, así como las pérdidas asociadas de los pools, revisaron el total inicial a aproximadamente 2,5 millones de dólares valorados en ETH y DOT en el momento del hackeo.
Una broma del Día de los Inocentes que no podría verse peor a posteriori
La explotación de Hyperbridge ocurre exactamente doce días después de que Hyperbridge publicara una broma del Día de los Inocentes afirmando que el Grupo Lazarus de Corea del Norte había robado 37 millones de dólares al protocolo. El anuncio estaba vinculado a una publicación de blog eliminada que explicaba "Por qué HyperBridge No Puede Ser Hackeado".
Históricamente, Hyperbridge se ha posicionado como una capa de interoperabilidad basada en pruebas que ofrece seguridad de nodo completo para puentes entre cadenas, que fue exactamente el mecanismo que utilizó el hackeo del 13 de abril para entrar.
En su actualización de hoy, el equipo de Hyperbridge abordó eso directamente, sin vacilar: "Lo que esta explotación ha dejado claro, a un alto costo, es que la lógica de verificación necesita auditorías más frecuentes y pruebas adversariales en cada capa de la pila".
¿Cuándo pueden esperar los usuarios de Hyperbridge una compensación?
Hyperbridge ha confirmado ahora que una gran parte de los fondos robados ha sido rastreada en la cadena hasta Binance, pero dijo que no revelará detalles específicos para no comprometer la investigación en curso.
El protocolo también ha revelado lo que sucederá si la recuperación falla. Si los usuarios afectados no son indemnizados a través de otros canales, Hyperbridge se compromete a una asignación estructurada de tokens BRIDGE para cubrir la pérdida residual.
El cronograma de desembolso y los detalles de valoración se revelarán el 13 de abril de 2027, un año después de la explotación.
Las operaciones de Token Gateway permanecerán pausadas hasta que se cumplan tres condiciones: la vulnerabilidad esté completamente parcheada, el parche haya sido auditado de forma independiente con el informe hecho público, y las salvaguardas adicionales estén operativas.
El Intent Gateway de Hyperbridge y los productos construidos sobre él no se ven afectados por la explotación y continúan operando con normalidad.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
