Sustraen 168 millones de euros en criptomonedas

México 19 abril._ El pasado domingo, un atacante robó alrededor de 182 millones de dólares (168 millones euros) en criptomonedas de Beanstalk Farms. Es un proyecto DeFi cuyo objetivo es equilibrar la oferta y la demanda de diferentes activos de criptomonedas.

El ataque fue detectado el domingo por la mañana por la empresa de análisis de blockchain PeckShield, que estimó que el beneficio neto para el hacker fue de unos 80 millones $ -unos 74 millones €- del total de los fondos robados, menos algunos de los fondos prestados que fueron necesarios para realizar el ataque. Más de setenta millones de euros en trece segundos.

Según el análisis de la empresa de seguridad de blockchain CertiK, el atacante de Beanstalk utilizó un préstamo flash. Lo obtuvo a través del protocolo descentralizado Aave para pedir prestados cerca de 1.000 millones de dólares en activos de criptodivisas. Y para intercambiarlos por suficientes judías para obtener una participación con derecho a voto del 67% en el proyecto.

Los fondos prestados al atacante se intercambiaron por ‘judías’. Son las recompensas que reciben los usuarios por contribuir con activos a un gran fondo de financiación que es utilizado para equilibrar el valor de un token, conocido como ‘judía’.

Violó el código

Se trata de un ‘exploit’ en el mecanismo de gobernanza presente en Beanstalk y otros muchos proyectos DeFi. Por él, los participantes pueden votar para cambiar el código de la plataforma y reciben derechos de voto en proporción al valor de los tokens que tienen.

Con esta participación supermayoritaria, el atacante pudo aprobar la ejecución del código que transfería los activos a su propia cartera. El atacante devolvió inmediatamente el préstamo flash, obteniendo un beneficio de 80 millones.

Beanstalk admitió el ataque en un tuit poco después. Dijo que estaban «investigando el ataque y harán un anuncio a la comunidad tan pronto como sea posible”.

Muchos usuarios de Beanstalk Farms afirman en el servidor de Discord de la plataforma haber perdido decenas de miles de dólares tras el ataque. Desde entonces, el atacante ha estado moviendo los fondos robados a través de Tornado Cash, un servicio de transacciones enfocado en la privacidad que mezcla unos depósitos con otros para ser retirados por una nueva dirección.