El puente Wanchain en Cardano ha sido hackeado: se han sustraído 515 millones de tokens NIGHT — análisis del ataque por Cryptalist
La comunidad cripto se ha enfrentado nuevamente a un grave incidente de seguridad: el puente entre cadenas Wanchain, que conecta las redes Cardano y BNB Chain, ha sido explotado. Como resultado del ataque, se extrajeron aproximadamente 515 millones de tokens NIGHT del tesoro del puente. Según mis estimaciones, en el momento del incidente, esta cantidad estaba valorada entre 9 y 13 millones de dólares, lo que subraya la magnitud del daño.
Anatomía del hackeo: cómo ocurrió
La raíz del problema, según mostró mi análisis de datos de BlockSec, radica en una vulnerabilidad crítica del validador TreasuryCheck. El validador es un contrato inteligente responsable de verificar la legitimidad de las operaciones. El error consistía en una codificación no inyectiva del mensaje firmado. En términos simples, esto significa que diferentes conjuntos de datos de entrada podían generar la misma cadena de bytes a la salida. Esto permitió a los atacantes manipular los límites de los campos de datos sin alterar la firma en sí.
El mecanismo de explotación fue el siguiente:
- El mensaje firmado se formaba mediante la concatenación de 14 campos de longitud variable (redeemer) sin usar separadores ni prefijos de longitud.
- Debido a esto, diferentes combinaciones de valores de campo podían producir un hash (huella digital) idéntico y, por lo tanto, la misma firma.
- El atacante, teniendo una firma válida para una operación, podía "desplazar" los límites invisibles entre los campos para interpretar los mismos datos como otra transacción más beneficiosa para sí mismo.
Este es un ejemplo clásico de un ataque basado en colisiones de hash, donde la firma sigue siendo válida pero la lógica del contrato se distorsiona.
Consecuencias para el mercado y reacción de las partes
La reacción del mercado fue inmediata y dolorosa. El precio del token NIGHT, activo nativo del proyecto Midnight (un blockchain orientado a la privacidad desarrollado con el apoyo de Input Output), se desplomó más del 30% en un día, alcanzando un mínimo histórico de alrededor de $0.016. Esto demuestra claramente cuán vulnerables pueden ser los puentes entre cadenas: se convierten en un punto único de fallo para los ecosistemas conectados.
El equipo de Wanchain confirmó rápidamente el incidente, desconectó el puente para llevar a cabo una investigación y prometió total transparencia. Midnight Foundation, por su parte, se apresuró a asegurar a la comunidad que el ataque afectó exclusivamente a la infraestructura del puente de terceros, no a la red principal de Midnight, su consenso ni su protocolo. Sin embargo, el daño a la confianza ya está hecho.
Mi conclusión experta: Este hackeo es un recordatorio más de que la seguridad de los contratos inteligentes, especialmente en soluciones complejas entre cadenas, requiere no solo auditorías formales, sino un análisis matemático profundo en busca de colisiones y no inyectividad. Los inversores deben ser extremadamente cautelosos con los tokens cuya liquidez depende de dichos puentes y prestar mucha atención a las actualizaciones de seguridad de los desarrolladores.