- El protocolo de monedas estables USPD sufre un sofisticado hackeo, con atacantes forjando 98M de USPD y drenando más de 1 millón de dólares en liquidez.
- La violación aprovechó una vulnerabilidad en la inicialización de un proxy, utilizando un contrato sombra para eludir la verificación y permanecer indetectable durante meses.
- Los ataques DeFi continúan en todo el ecosistema, incluidos los recientes exploits en Yearn Finance y Balancer, lo que resalta los riesgos persistentes de los contratos inteligentes.
El protocolo de finanzas descentralizadas US Permissionless Dollar sufrió una brecha de seguridad que resultó en la acuñación no autorizada de su stablecoin y el drenaje de más de $1 millón en liquidez.
Según un informe de incidente de la cuenta oficial de X del equipo de USPD, el atacante depositó aproximadamente 3,122 ETH como garantía y explotó un error que le permitió acuñar aproximadamente 98 millones de tokens USPD en una sola transacción.
El proceso creó diez veces la cantidad de tokens contra el depósito inicial y permitió al hacker drenar 237 stETH de garantía adicionales. Las stablecoins robadas se convirtieron posteriormente en aproximadamente $300,000 en USDC a través del exchange descentralizado Curve.
Los desarrolladores del protocolo USPD y varias cuentas de ciberseguridad, como PeckShield Alert, emitieron una advertencia a los usuarios inmediatamente después de identificar la brecha, afirmando:
“Hemos confirmado una explotación crítica del protocolo USPD que resultó en acuñación no autorizada y drenaje de liquidez. Por favor, NO compren USPD. Revoguen todas las aprobaciones inmediatamente.”
El hacker de USPD aprovechó los proxies para engañar al protocolo y forjar tokens
El DeFi El informe del protocolo mencionaba que la brecha explotaba un vector de ataque complejo llamado “CPIMP”, abreviatura de Clandestine Proxy In the Middle of Proxy. USPD explicó que el atacante adelantó la inicialización del proxy el 16 de septiembre durante el despliegue utilizando una Multicall3 transacción.
2/ Esto no fue una falla en la lógica de nuestros contratos inteligentes.
El protocolo USPD fue sometido a rigurosas auditorías de seguridad por firmas de primer nivel como @NethermindEth y Resonance. Nuestro código está completamente probado con pruebas unitarias y cumple con estrictos estándares de la industria. La lógica en sí sigue siendo segura.
— UPD.IO | Universal Private Dollar (@UPD_io) 4 de diciembre de 2025
El hacker utilizó CPIMP para apoderarse silenciosamente de los derechos administrativos antes de que los scripts del protocolo se ejecutaran por completo, esperando meses para comenzar a forjar monedas sin autorización. Implementaron un contrato “sombra” que reenviaba las llamadas al código auditado de USPD, y luego manipularon sutilmente la carga útil del evento y suplantaron ranuras de almacenamiento para engañar a Etherscan y hacer que mostrara el contrato auditado original.
“Este camuflaje permitió al atacante ocultarse a plena vista durante meses, eludiendo las herramientas de verificación y las revisiones manuales. Hoy, utilizaron su acceso oculto para actualizar el proxy, forjar ~98M de USPD y drenar ~232 stETH”, escribió USPD.
El analista de blockchain Emmet Gallic reiteró el análisis del protocolo DeFi, añadiendo que una inicialización de proxy causó el ataque durante el despliegue.
“El atacante reclamó los derechos de administrador, instaló una implementación sombra que engañó a Etherscan para mostrar el contrato auditado. El protocolo fue hackeado durante meses”, concluyó.
USPD continuará con las investigaciones y ofrece una recompensa al hacker
En respuesta al ataque, USPD declaró que está trabajando estrechamente con las fuerzas del orden y grupos de seguridad whitehat para rastrear y congelar los fondos robados. “Hemos marcado las direcciones del atacante con todos los principales CEX y DEX para congelar el flujo de fondos”, reveló el equipo.
El protocolo también dijo que estaba dispuesto a resolver la situación con el atacante si se devolvían los fondos menos una recompensa estándar del 10% por hallazgo de vulnerabilidades. El protocolo prometió cesar todas las acciones legales si aceptaban la oferta y animó al atacante a contactarlos directamente o devolver el 90% de los activos robados para ver el asunto resuelto.
“Estamos devastados de que, a pesar de las rigurosas auditorías y el cumplimiento de las mejores prácticas, hayamos sido víctimas de este vector de ataque emergente y altamente complejo. Estamos haciendo todo lo posible por recuperar los activos”, dijo USPD a su comunidad.
Según CoinMarketCap, el anclaje de la moneda estable al dólar estadounidense no se ha visto afectado hasta ahora, pero su volumen ha caído un 20% en las últimas 24 horas, situándose en unos 2,56 millones de dólares.
Las brechas en protocolos de monedas estables DeFi han sido en el pasado mucho mayores que las enfrentadas por USPD, incluido el hackeo de Euler Finance en 2023 que provocó pérdidas de más de 197 millones de dólares después de que se drenaran las monedas estables de sus pools de préstamos.
Dos protocolos DeFi en modo de recuperación tras los exploits de noviembre
El lunes pasado, Yearn Finance se convirtió en el último protocolo en sufrir un exploit en su token de índice de staking líquido yETH. El perpetrador forjó un número efectivamente ilimitado de tokens y robó aproximadamente 3 millones de dólares en ETH.
Yearn Finance había sufrido previamente un exploit de 9 millones de dólares en su pool de stableswap yETH el 30 de noviembre, pero, según Cryptopolitan informó el miércoles, ya había comenzado a recuperar los fondos robados. Hasta ahora, el equipo ha recuperado con éxito 2,39 millones de dólares, que serán devueltos a los depositantes afectados.
Balancer, otro protocolo DeFi que perdió 128 millones de dólares a través de una brecha en v2, anunció planes para reembolsar aproximadamente 8 millones de dólares a los proveedores de liquidez la semana pasada.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
