$24M RoboPhishing: Cómo los hackers convirtieron las aprobaciones de tokens en una máquina de drenaje

¿Recuerdas cuando “simplemente aprobar una transacción” parecía inofensivo? En marzo, una llamada de atención sobre la seguridad en blockchain demostró lo contrario.

En septiembre de 2023, un ballena de criptomonedas perdió $24 millones a través de un ataque de phishing dirigido al servicio de staking de Rocket Pool. El ataque fue impecable: los hackers engañaron a la víctima para que firmara una transacción de “Aumentar Permiso”, básicamente entregando las llaves de su bóveda de tokens. ¿El daño? 9,579 stETH + 4,851 rETH desaparecidos en dos fases.

Avanzando a marzo 21: CertiK detectó que el hacker movió 3,700 ETH (~$10M) a Tornado Cash, un servicio de mixing diseñado para ocultar las trazas de fondos. Para entonces, el análisis de PeckShield mostró que los activos robados se habían consolidado en 13,785 ETH + 1.64M DAI, con partes ya canalizadas a través de FixedFloat y dispersas en múltiples billeteras.

Por qué esto importa (Y por qué deberías preocuparte)

Esto no fue un exploit de contrato inteligente exótico; fue abuso de permisos de tokens, una de las vulnerabilidades más pasadas por alto en el cripto. El informe Scam Sniffer pinta un panorama sombrío: $47 millones perdidos por phishing solo en febrero, con un 78% en Ethereum y tokens ERC-20 representando el 86% de todos los robos.

¿Lo más aterrador? No solo los grandes jugadores sufren. El 20 de marzo, usuarios de Dolomite descubrieron que un contrato antiguo que habían aprobado previamente estaba siendo utilizado para vaciar billeteras. La plataforma tuvo que emitir un aviso de revocación de emergencia.

¿Qué salió mal (Y qué podría salir bien)

Las aprobaciones de tokens son un mal necesario en DeFi: permiten que los protocolos ejecuten transacciones en tu nombre. Pero aquí está la trampa: una vez que apruebas, confías en ese contrato para siempre hasta que lo revocas manualmente. Los hackers aprovechan esto de la siguiente manera:

1. Logran que apruebes un contrato malicioso mediante phishing
2. Vacián tu billetera de forma sistemática con el tiempo
3. Mezclan fondos a través de servicios como Tornado Cash para ocultar rastros

Sin embargo, no todas las historias terminan en pérdidas. Layerswap demostró que una respuesta rápida puede minimizar daños: detuvieron un $100K asalto cuando su sitio fue comprometido y compensaron a los usuarios afectados.

La realidad

El espacio de seguridad en cripto está en una carrera armamentística. Cada ataque de phishing revela nuevas vulnerabilidades, y cada exploit enseña nuevas trampas a los hackers. La diferencia entre una $10M pérdida y un $100K desastre a menudo depende de si revocaste o no tus permisos antiguos de tokens.

Los incidentes de marzo no son casos aislados; son advertencias. A medida que DeFi se vuelve más sofisticado, también lo hacen los ataques.