El hackeo de Thetanuts por $2,1 millones: un contrato olvidado que no debía quedar desatendido
El sector DeFi vuelve a ser sacudido por una noticia de hackeo, pero esta vez el incidente no es tanto técnico como de gestión. El protocolo Thetanuts Finance perdió aproximadamente $2,1 millones debido a la explotación de un vault obsoleto que el equipo había abandonado hace tiempo. Es revelador que casi toda la suma —alrededor de $2 millones— fue devuelta por hackers blancos, lo que plantea preguntas sobre los procedimientos de seguridad en proyectos con "código muerto".
El ataque se dirigió a un contrato inteligente que el protocolo dejó de usar hace varios años. Thetanuts destacó que este contrato no tiene relación con los productos actuales ni con la infraestructura activa. Sin embargo, como muestra la práctica, los contratos "olvidados" siguen existiendo en la blockchain, y sus vulnerabilidades son una mina de oro para los atacantes.
Cómo ocurrió
Los primeros en dar la alarma fueron los especialistas en seguridad de SlowMist. Determinaron que la raíz del problema era un error de división de enteros en la función interna de minting del contrato inteligente. Tras la retirada de fondos, la fórmula para calcular los depósitos comenzó a dar cero debido a las peculiaridades del redondeo. Esto permitió al hacker acuñar tokens literalmente de la nada, en cantidades ilimitadas.
Según PeckShield, el atacante intercambió $105,000 en USDC por aproximadamente 60 ETH. En la billetera del atacante aún quedan tokens de opciones por valor de unos $34,000. El equipo de Thetanuts prometió publicar un informe detallado tras finalizar la investigación.
Este caso no es aislado. Anteriormente observamos ataques similares en Aztec Connect ($2,1 millones) y en los pools de liquidez obsoletos de Raydium ($1,3 millones). La tendencia general es clara: los atacantes cazan deliberadamente contratos "dormidos" que siguen funcionando sin soporte.
Mi opinión profesional: El incidente con Thetanuts es un recordatorio más de que en DeFi no se puede "olvidar" un contrato. Cualquier código, una vez desplegado en la blockchain, permanece allí para siempre. Los equipos deben implementar sistemas automatizados de monitoreo y procedimientos de desactivación forzosa para contratos obsoletos. De lo contrario, estas "sorpresas" se convertirán en la norma.