El banco DeFi de stablecoins Infini sufre un exploit de $49M después de que el atacante retenga el control a nivel de administrador

Un hacker drenó más de $49M en USDC del banco de stablecoins Infini. El exploit podría deberse a un acceso interno a un contrato inteligente, donde el desarrollador retuvo el acceso después de entregarlo a Infini. 

El acceso de administrador a un contrato inteligente permitió a un explotador drenar $49M del protocolo Infini, un banco DeFi de stablecoins. Infini no ha reaccionado ante el exploit ni ha explicado la naturaleza del hackeo. Infini es un emisor de tarjetas cripto, tomando colateral en stablecoins para realizar pagos diarios. 

Infini publicitó sus servicios de pago como un neobanco, mezclando criptomonedas y finanzas tradicionales. El producto atrajo un 500 % más de usuarios en las últimas semanas, ya que comenzó sus campañas de tarjetas. El neobanco también ofrece productos de ganancias de alto rendimiento, lo que llevó a un aumento en la liquidez disponible para el explotador.

Fueron precisamente los productos de rendimiento los que crearon las condiciones para el exploit, ya que los fondos fueron reportados tomado desde el Morpho MEV Capital Usual USDC Vault. Morpho no ha emitido ninguna advertencia ni ha reportado fondos perdidos.

El exploit se notó después de una ballena de aspecto normal transacción, donde una nueva billetera retiró todos los fondos bloqueados en el contrato. La billetera del atacante era conocida por Infini, ya que el proyecto reportadamente ordenó al explotador crear el contrato inteligente. Desconocido para el proyecto, el atacante retuvo los derechos de administrador y pudo realizar la llamada para drenar toda la liquidez. 

🚨ALERTA🚨Hoy, @0xinfini sufrió un exploit de $49M en $USDC debido a que un atacante abusó de los privilegios administrativos retenidos.

El atacante, que operaba desde 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, había desarrollado inicialmente el contrato como parte del proyecto Infini. Sin embargo, después… pic.twitter.com/olguOyNCJr

— 🚨 Alertas de Cyvers 🚨 (@CyversAlerts) 21 de febrero de 24, 2025

La acción inmediata del explotador fue intercambiar USDC para comprar 17.696 ETH. El explotador pasó por DAI, que estaba disponible a través de protocolos descentralizados. Los fondos se movieron a través de Uniswap, Sky Protocol y 0x Protocol. Intercambiar USDC lo más rápido posible permitió al hacker mover los fondos a ETH, que no se puede congelar, solo bloquear en exchanges.

Después de eso, el atacante dividió los beneficios en sumas más pequeñas y múltiples direcciones. El explotador usó una nueva billetera para enviar una pequeña cantidad de ETH para el gas y completar la transacción. La financiación inicial de la billetera provino de Tornado Cash, ocultando parte de la presencia on-chain del hacker.

Después de eso, el ETH se movió a través de una serie de transferencias. Al momento de escribir, los fondos aún no se habían mezclado. 

¿Atacaron nuevamente los hackers de la RPDC?

La identidad del creador del contrato sigue siendo desconocida, ya que Infini no ha revelado quién fue ordenado para construir el contrato inteligente. 

El hackeo de Infini sigue al mayor exploit de 2025, donde el exchange Bybit perdió hasta $1.5B en Ethereum (ETH). El hacker de Bybit tuvo un enfoque similar de dividir ETH antes de mezclar. El investigador on-chain ZachXBT ha señalado múltiples ejemplos de que este enfoque es una de las firmas del grupo de hackers Lazarus. Por ahora, Infini no ha vinculado ninguna de las billeteras del explotador con otras direcciones conocidas de Lazarus. 

Esta vez, no se filtraron claves privadas, e Infini no ha detenido los retiros y depósitos. 

El fundador de Infini, @christianeth, asumió toda la responsabilidad del exploit, afirmando que fue negligente en el proceso de transferencia de autoridad del desarrollador al proyecto. El fundador tranquilizó a los usuarios de que el protocolo sigue siendo líquido y emitirá una compensación completa en el peor de los escenarios. 

“Mi clave privada personal no se ha filtrado, así que no hay necesidad de preocuparse demasiado. Fui negligente al transferir la autoridad antes. Es finalmente mi responsabilidad. Esto ha sonado la alarma…No hay problema con la liquidez. Se puede pagar una compensación completa y se están rastreando los fondos,” escribió @christianeth en X.

Otro análisis on-chain muestra una posible filtración de clave privada, que permitió al hacker acceder al contrato. PeckShield señaló que el ingeniero convertido en hacker ha estado identificada. Después del ataque, uno de los cofundadores de Infini, @0xsexybanana, eliminó su cuenta de X. El robo actual es un ataque interno sospechoso, ya que el ingeniero era lo suficientemente confiable como para crear un contrato inteligente. 

Los exploits recientes y la acumulación de ETH plantearon la pregunta de usar la cadena para el lavado de dinero y potencialmente el financiamiento de regímenes hostiles. Al mismo tiempo, los exploits catalizaron un pequeño rally de ETH, donde el activo superó los $2.800 por primera vez en semanas. Las pérdidas de ETH significaron que los exchanges tuvieron que recuperar sus reservas, lo que llevó a una demanda adicional.