Alchemix y Curve recuperan $61M robados gracias a recompensa

1. Introducción

Vivimos tiempos emocionantes, dignos de un thriller tecnológico. Acabamos de presenciar el robo de más de $61 millones en criptomonedas, obra de un hábil hacker que aprovechó las debilidades del lenguaje de programación Vyper en Curve Finance. Alchemix, Curve Finance, JPEGd y Metronome fueron despojados de sus fondos, un golpe insólito.

Sin embargo, el argumento dio un giro inesperado. En lugar de buscar represalias, los agraviados optaron por ofrecer una recompensa al autor del ataque. El 3 de agosto, Alchemix, Curve y Metronome lanzaron una propuesta: 10% del total sustraído a quien devolviera el 90% restante. Un cambio de guión digno de una cinta de Hollywood.
La respuesta fue más rápida de lo esperado. En menos de un día, el hacker inició un sorprendente acto de penitencia, restituyendo 4,820.55 Alchemix ETH a Alchemix Finance. Tendríamos que preguntarnos: ¿fue por altruismo o por la tentadora recompensa de $7 millones?
El ladrón envió un mensaje a los equipos de Alchemix y Curve, asegurando que devolvería lo robado, no por miedo, sino por no querer perjudicar más los proyectos implicados. Un código moral cuestionable que parece activarse tras cometer un atraco multimillonario.

• El caso de JPEG’d corrobora esto. El hacker ha devuelto 5.495 Ether, lo que significa que no se emprenderán acciones legales en su contra. Deja planteada una cuestión indispensable: ¿cómo se define la justicia en la era digital?

• Queda claro que la rapidez y contundencia podrían ser la solución para resolver estas situaciones en el inestable universo cripto. Parece que, por el momento, hemos tenido que depender de recompensas para corregir los desfalcos. Sin embargo, sólo el tiempo nos dirá si se vuelven a repetir en el futuro.

2. Detalles del ataque

El 30 de julio de este año, nos enfrentamos a un episodio tormentoso que perforó un agujero de $61 millones en el universo de las criptomonedas. En el corazón de esto, el lenguaje de programación Vyper, famoso por sus peculiaridades y popular entre Curve Finance, jugó un papel destacado, aunque de una forma que ningún desarrollador desearía. La tragedia se debió a una falla en este lenguaje, que fue explotada por un astuto hacker para llevar a cabo el ataque.


• Los fondos desaparecieron sin dejar rastro en distintos rincones: $136 millones se esfumaron del pool alETH-ETH de Alchemix; y los pools pETH-ETH de JPEGd y sETH-ETH de Metronome también sufrieron un golpe, con pérdidas de $114 millones y $16 millones, respectivamente.
• Un renacer se produjo el 3 de agosto cuando el equipo de Alchemix, respaldado por Curve y Metronome, alió fuerzas para intentar recuperar los fondos desviados. Su osada estrategia, poco convencional: ofrecer a su adversario $7 millones, equivalentes al 10% de la cantidad hurtada, con la condición de que regresara el saldo.
• Imagina nuestra sorpresa cuando, menos de un día después de la oferta, el hacker comenzó a devolver lo sustraído. La primera devolución de fondos, un total de 4,820.55 Alchemix ETH (alETH), fue a parar al equipo de Alchemix Finance. Esta historia, más cercana a un relato de ciencia ficción que de finanzas tradicionales, tuvo un desenlace más afortunado de lo previsto.


El atacante, en un giro inesperado, dejó un mensaje para los equipos de Alchemix y Curve, denotando su intención de regresar los fondos no por temor, sino por no desear «dañar» los proyectos implicados. Incluso JPEG’d, un protocolo de token no fungible también afectado, confirmó la devolución de 5,495 Ether por parte del hacker.
En un final digno de un largometraje, como parte del trato, no se tomará ningún tipo de acción legal contra el hacker, quien dejó una estela de suspenso y adrenalina en su paso. JPEG’d ha calificado este incidente como un «rescate de sombrero blanco«, poniendo un broche dorado a un capítulo de acción financiera que, afortunadamente, tuvo un final feliz.
Este incidente es un claro recordatorio de las vulnerabilidades que enfrentan las instituciones financieras y las «bestias hambrientas de beneficios» como lo denunció Sam Bankman-Fried, fundador de FTX en su juicio por fraude y lavado de dinero.

3. La oferta de recompensa

La defensa cibernética que protegía a Alchemix, Curve y Metronome se había debilitado, y los recursos parecían agotarse. Sin embargo, en medio del silencio estalló una propuesta descarada. Propusieron al hacker nada menos que el 10% del botín robado, casi 7 millones de dólares, como incentivo para la devolución de fondos. Podríamos decir que sonaba a justicia extrañamente poética.

• Y ocurrió. En un lapso menor a un abrir y cerrar de ojos, el ladrón, a quien algunos podrían considerar un Robin Hood moderno, aceptó y devolvió un primer lote de alETH a Alchemix. Pueden imaginarlo, frente a su pantalla, reconsiderando sus actos.

• El hacker, sin pedir misericordia, dejó una nota. En ella expresaba que su intención no era arruinar los proyectos implicados de Alchemix y Curve.

Este movimiento de conciencia se extendió a otros frentes. JPEG’d recuperó su Ether, que inicialmente parecía ser una pérdida irreversible debido al ataque. Pero respecto al acuerdo original, se prometió que no habría acción legal contra el pirata informático. Desde JPEG’d se pronunciaron al respecto. «Fin de las investigaciones y asuntos legales«, anunciaron, aliviados. De un ataque devastador, se transformó en una especie de rescate heroico, evidenciando que a veces, la puntería del adversario puede astutamente evitar destruir por completo. Esto recuerda a la reciente victoria de Ripple que anticipa un cambio positivo en regulación cripto.

4. Recuperación de los fondos

El robo mayúsculo es, a menudo, un hecho irreversible. Pero en un giro inusual, Alchemix y Curve vieron recuperados sus activos robados, con el ladrón entregándolos por su voluntad propia, evidenciando que, a veces, los sueños imposibles alcanzan corporeidad incluso en el sector financiero.

• Esta sucesión de hechos -más propio de un thriller que de la realidad- cobra vida cuando el atacante accede a una propuesta de recompensa de los equipos de Alchemix, Curve y Metronome. Se le ofrece el 10% del botín robado, una cantidad que ascendería a 7 millones de dólares, seductora recompensa difícil de resistir.

• Los detalles de la negociación son escasos y permanecen velados en misterio. Sin embargo, lo que sí es público es que, en menos de un día después de emitirse la oferta de recompensa, el atacante comenzó el insólito camino de retorno de los fondos.

• Y en primer lugar, envió 4,820.55 Alchemix ETH (alETH) de vuelta al equipo de Alchemix Finance, un gesto promisorio.

También hay que destacar que el atacante hizo pública su intención de regresar los fondos expropiados, no por temor a ser atrapado, sino porque no quería perjudicar los proyectos implicados
Y no se detuvo en Alchemix. El protocolo de token no fungible (NFTs) JPEG’d también confirmó la recepción de sus activos robados: exactamente, 5.495 Ether. Un rasgo importante de esta historia es el compromiso de JPEG’d y los otros equipos damnificados, quienes acordaron no llevar a cabo acciones legales contra el maleante. Este gesto, sin dudas, es un final insólito para un suceso que podría haber concluido de forma muy distinta.

Es interesante observar cómo las criptomonedas, como el Ether, son objeto de este tipo de ataques. Si estás interesado en este tema te recomendamos leer sobre los Avances en el ETF de Bitcoin: La Aplicación de BlackRock Entra en la Agenda.

5. Repercusiones y lecciones aprendidas

El resonante suceso, en el que un ciberactivista se transformó de pirata informático a héroe casi anónimo, ha dejado huella visible en el mundo cripto. En lugar de sembrar el caos, las acciones enérgicas y una propuesta de recompensa por la devolución de fondos robados, funcionaron efectivamente en esta singularidad.

• Aprovechando una clara crisis como motor de aprendizaje y solidaridad, estas empresas están trazando una ruta para otras que podrían verse inmersas en casos parecidos, eligiendo un rescate ‘white hat‘ antes que demandas y mala prensa.

• El método y velocidad con que se manejó la gratificación, demuestra cómo las criptomonedas y la blockchain pueden mediar en transacciones entre grupos que ordinariamente estarían divididos por barreras legales. El retorno de los fondos robados por respeto al proyecto y conciencia moral, más que por temor a ser descubierto, es un fenómeno poco común fomentado quizás por el anonimato de la blockchain.

• Este suceso remarca, adicionalmente, la primacía de la seguridad en esta industria. Las vulnerabilidades de programación devienen blancos de aquellos buscando sacar partido del sistema, lo que implica que las compañías deben ponderar entre innovar y garantizar seguridad.

En resumen, este es un triunfo agridulce. Sí, el dinero fue recuperado, pero es un recordatorio de las fragilidades del sistema a corregir. En este tira y afloja entre los piratas informáticos y las medidas de seguridad, los próximos pasos cripto serán determinantes.
Para entender mejor el contexto de esta noticia, te recomendamos leer un artículo anterior sobre cómo Coinbase suspendió temporalmente los servicios de Staking en cuatro estados americanos.

Fuente de la noticia: https://cointelegraph.com/news/alchemix-reports-return-of-all-stolen-funds-from-curve-pools