Otro día, otra explotación.
El 10 de junio, el exchange descentralizado (DEX) basado en Solana, Raydium, descubrió una falla de codificación en su programa heredado AMM V3. La vulnerabilidad permitió a un atacante extraer fondos de varias piscinas de liquidez obsoletas.
Para contexto, el AMM V3 era un programa que Raydium dejó de usar en 2021 y ya no estaba disponible a través del SDK, la interfaz de usuario ni el dApp actual. Al aprovechar una vulnerabilidad, un atacante extrajo aproximadamente $1,34 millones en criptomonedas de cinco piscinas.
Pools y tokens comprometidos
Según estimaciones preliminares, el atacante drenó aproximadamente 150.177 Raydium [RAY], 5.603 Solana [SOL] y casi 893.700 USDC de los pools afectados.
Esto incluyó los pares RAY-SOL, USDC-RAY y SRM-RAY, Sollet USDT-RAY y Sollet ETH-RAY. PeckShield también rastreó siete Ethereum [ETH] depositados en FixedFloat y 810 ETH en Tornado Cash.
Aún así, asegurando a la comunidad, Raydium publicó en X y señaló:
Ningún usuario actual de Raydium se ha visto afectado por esta vulnerabilidad ni habría podido interactuar con estos pools a través de la interfaz desde su retirada.
¿Cuál fue la causa principal detrás de este ataque?
Raydium afirma que la vulnerabilidad fue causada por la insuficiente validación de las acuñaciones de tokens LP (proveedores de liquidez) del programa heredado.
Dicho esto, el atacante pudo generar un token LP falso porque el contrato no validó suficientemente la emisión de tokens LP. Como resultado, el explotador retiró fondos de las piscinas afectadas y evitó los controles de propiedad proporcional.
El problema, enfatizó Raydium, se limitó a la base de código obsoleta AMM V3 y no fue causado por una autoridad de administración comprometida, clave privada o brecha de seguridad a nivel de protocolo.
Los programas actuales del mainnet para el protocolo ahora utilizan una arquitectura diferente que los protege de este tipo de ataque mediante el uso de mecanismos de oferta virtual y la verificación de emisiones de LP.
Por lo tanto, ni los pools de liquidez actuales ni los usuarios activos de Raydium se vieron afectados. El protocolo también indicó que todas las pérdidas resultantes del exploit serán reembolsadas completamente a través del tesoro de Raydium.
Además, se está realizando una revisión de seguridad más exhaustiva de todos los programas del mainnet.
Impacto en el precio y más
Interesantemente, a pesar del exploit, el precio de RAY se situó en $0.5815 tras un aumento del 2.08% respecto al día anterior. Sin embargo, la caída semanal del 8% y la caída mensual del 30% siguen generando preocupación.
Esto coincidió con otro exploit en el que el atacante obtuvo el control de los permisos administrativos del puente, agotando 141 millones de tokens H en Ethereum.
Además, los investigadores de seguridad descubrieron que otro atacante retiró aproximadamente $1.5 millones en WETH de una piscina de liquidez de Ethereum Balancer mediante un ataque de toma de control de gobernanza.
En total, la cantidad total de dinero robado en 2026 ha aumentado a $795.3 millones, con abril registrando la mayor cantidad de brechas.
Resumen final
- El responsable drenó aproximadamente 150.177 RAY, 5.603 SOL y casi 893.700 USDC de los pools afectados.
- El precio de RAY aún permaneció sin afectar, aumentando más del 2% en las últimas 24 horas.