El exploit de 285 millones de dólares en Drift Protocol sobre Solana genera dudas sobre la seguridad de DeFi

Cuando se roban millones de dólares en cripto de un protocolo de finanzas descentralizadas, suelen seguirse preguntas difíciles—y el exploit de $285 millones de Drift Protocol este miércoles no es una excepción.

El proyecto basado en Solana ha sido puesto bajo el foco mientras investigadores y expertos examinan su diseño, planteando interrogantes acerca de si ciertas características o procedimientos podrían haber evitado que alguien ejecutara uno de los ataques DeFi más lucrativos del pasado reciente.

En una publicación en X, Drift afirmó que un actor malicioso obtuvo acceso no autorizado a su plataforma mediante un “ataque novedoso”, que le otorgó poderes administrativos sobre el llamado consejo de seguridad de Drift. Añadieron que el ataque probablemente involucró algún grado de “ingeniería social sofisticada”.

El robo, que está entre los más grandes de DeFi en la historia reciente, dependió de introducir un activo digital falso en el intercambio descentralizado y de modificar los límites de retirada de la plataforma. Tras inflar el valor del token malicioso, el atacante obtuvo la capacidad de drenar rápidamente la liquidez real de Drift abusando de los mecanismos de préstamo.

Hay indicios de que el exploit está vinculado a la República Popular Democrática de Corea, según la firma de inteligencia blockchain Elliptic en un informe publicado el jueves. Señalaron el comportamiento on-chain del atacante, las metodologías de lavado y los indicadores a nivel de red.

Con los depósitos de usuarios afectados—y el protocolo congelado como medida de precaución—los observadores también se enfocan en un elemento central del diseño de Drift: una wallet multifirma, donde las firmas producidas por dos claves privadas permitieron al atacante obtener poderes absolutos.

Las wallets multifirma representan un punto de centralización para muchos proyectos DeFi, y el incidente expone la incómoda realidad de que las auditorías de smart contracts solo pueden prevenir cierto grado de daño, según David Schwed, COO de SVRN y experto en seguridad blockchain. 

Él dijo a

que Drift se ha convertido en el último ejemplo de cómo los servicios que buscan reemplazar intermediarios financieros por código dependen con frecuencia de equipos pequeños y puntos de centralización como las wallets multifirma, que presentan riesgos de ciberseguridad.

“Todos los ingenieros actualmente se centran en el lado tecnológico de la seguridad, no se enfocan en las personas involucradas en el proceso”, dijo. “Entonces sí, el protocolo es descentralizado, pero su gobernanza está centralizada en cinco personas.”

‘Una vez más’

Schwed comparó la falta de seguridad de Drift con uno de los hacks DeFi más notorios, donde se robaron más de $625 millones de activos digitales por hackers vinculados a Corea del Norte en 2022. Apuntaron a Ronin, una sidechain de Ethereum desarrollada para el popular juego NFT Axie Infinity. El ataque se basó en acceder a cinco claves privadas, según la firma de seguridad blockchain Chainalysis.

Mientras los analistas blockchain ven las huellas de un actor estatal, otros argumentan que la precisión del ataque sugiere un conocimiento más profundo del protocolo. Schwed dudó que hackers vinculados a Corea del Norte estuvieran involucrados en el hackeo contra Drift porque siente que el atacante, posiblemente un insider, “sabía a quién apuntar”. 

Observadores han especulado que un “bloqueo temporal” podría haber evitado que el exploit ocurriera tan rápido. La característica de smart contract restringe la ejecución de transacciones o el acceso a fondos hasta que se alcance un momento futuro específico, permitiendo potencialmente al equipo de Drift intervenir.

“Los bloqueos temporales ayudan a ganar tiempo para reaccionar ante tales ataques, y habrían ayudado aquí—pero ese no es el verdadero problema”, dijo Stefan Byer, socio director de Oak Security, a

. “El mayor problema fue que—una vez más—una clave privilegiada fue comprometida.”

Aun así, Dan Hongfei, fundador y presidente de Neo Blockchain, argumentó que los protocolos como Drift que albergan millones de dólares en fondos no deberían poder ser drenados instantáneamente.

En una publicación en X, dijo que los bloqueos temporales ligados a acciones críticas como la inclusión de activos de alto riesgo deben aplicarse para “impedir que un atacante complete toda la cadena de explotación en segundos”.

La opinión fue respaldada por Or Dadosh, fundador de Venn Network, proveedor de infraestructura de seguridad cripto. También señaló los interruptores automáticos, que permiten a los proyectos pausar instantáneamente sus operaciones si se superan los límites de velocidad o volumen de salida anormal.

Varios expertos en seguridad apostaron que Drift no sería el último proyecto DeFi en sufrir un exploit como el ocurrido el miércoles. Notaron que los actores maliciosos recurren cada vez más a la IA, utilizando algoritmos para obtener una comprensión completa de su próximo objetivo.

“Hemos llegado a un punto donde un actor malicioso puede falsificar la voz de tu madre en una llamada telefónica,” dijo Dadosh a

. “Vivimos en una nueva era donde los ataques financieros pueden surgir en lugares y formatos que ni siquiera imaginábamos hace un año.”