El protocolo de finanzas descentralizadas Echo Protocol sufrió un importante incidente de seguridad después de que un atacante comprometiera la clave privada del administrador y acuñara aproximadamente 1,000 tokens eBTC en la cadena de bloques Monad. La firma de análisis de blockchain PeckShield y el servicio de monitoreo en cadena Lookonchain identificaron el exploit el 19 de mayo, señalando que los tokens sintéticos de Bitcoin acuñados tenían un valor nocional de aproximadamente 76,7 millones de dólares.
Los detalles de la investigación indican que el exploit resultó de configuraciones operativas deficientes en lugar de vulnerabilidades en el código de los contratos inteligentes. El rol de administrador con firma única, la ausencia de un módulo de gobernanza con múltiples firmas y la falta de límites de suministro permitieron al atacante invocar la función de acuñación sin activar controles internos de sanidad del suministro. Los mecanismos de timelock y de limitación de la tasa del protocolo no se activaron, lo que permitió la creación instantánea de tokens no autorizados.
Después de la acuñación, el atacante intentó lavar parte de las ganancias depositando 45 eBTC en el protocolo Curvance de préstamos y gestión de liquidez. El atacante prestó 11,3 Bitcoin envuelto (wBTC) contra el depósito, trasladó los fondos a Ethereum y canjeó los tokens por 384 ETH. Tornado Cash se utilizó como servicio de mezcla, a través del cual se canalizó ETH por un valor de 822,000 dólares. Datos forenses de blockchain muestran que 955 eBTC, valorados en aproximadamente 73 millones de dólares, permanecieron en la dirección del atacante hasta que Echo Protocol recuperó el control de la clave de administrador comprometida. Los administradores del protocolo quemaron posteriormente los 955 eBTC, neutralizando la mayor parte de la oferta no autorizada.
Las declaraciones del equipo del protocolo confirmaron que las transacciones entre cadenas permanecen suspendidas a la espera de una auditoría completa de la gobernanza y los controles operativos. Keone Hon, cofundador de la red Monad, confirmó que la cadena de bloques de capa 1 subyacente no resultó afectada y continuó operando con normalidad. Curvance pausó el mercado de eBTC afectado para contener el riesgo y prevenir explotaciones secundarias.
El incidente subraya un aumento a nivel de toda la industria en los exploits de protocolos DeFi durante 2026, ya que las fallas de gobernanza operativa se vuelven puntos focales para los atacantes. Ejemplos notables incluyen el exploit de THORChain por 10 millones de dólares el 15 de mayo y el hack del puente entre cadenas de Verus Protocol que drenó 11,6 millones. Las pérdidas combinadas de los hacks de protocolos en mayo ahora superan los 100 millones de dólares, lo que impulsa llamados a auditorías operativas estandarizadas y a modelos de gobernanza con múltiples firmas en implementaciones de contratos inteligentes.
Los expertos en seguridad recomiendan la adopción de contratos de timelock, límites de suministro, roles con múltiples firmas y marcos de organización autónoma descentralizada (DAO) para mitigar los riesgos de puntos únicos de fallo. Los participantes de la industria esperan el informe post-mortem de Echo Protocol para evaluar mejoras de gobernanza a largo plazo y planes de restitución para los proveedores de liquidez afectados y los tenedores de tokens.
Comentarios (0)