SlowMist: Explotación de NEM drena $822,000 mientras el atacante manipula las reservas del pool de liquidez
La empresa de seguridad blockchain SlowMist informó sobre una explotación de tokens NEM por valor de $821,920 el 22 de octubre de 2026, que involucró una vulnerabilidad en el contrato inteligente NemTokenV2 y un pool de liquidez USDT/NEM en PancakeSwap. El atacante supuestamente manipuló la contabilidad de tokens y los reservas de liquidez mediante 42 operaciones repetidas, creando un precio de exchange artificialmente elevado antes de extraer USDT. El incidente destaca debilidades de seguridad en mecanismos de tokens personalizados que interactúan con intercambios descentralizados. Aunque las pérdidas reportadas son sustanciales, el impacto financiero final del ataque, el estado de recuperación y la conexión con la cadena de bloques NEM original requieren una distinción cuidadosa.
SlowMist informa sobre una explotación de $822K en tokens NEM en PancakeSwap
La divulgación de seguridad del 22 de octubre identificó una vulnerabilidad de contabilidad de liquidación en NemTokenV2 que permitía a un atacante manipular los reservas del pool de liquidez sin completar los intercambios de tokens correspondientes. El ataque se dirigió a un par de trading USDT/NEM en PancakeSwap, donde los saldos distorsionados de las reservas afectaron el precio cotizado del token. SlowMist estimó las pérdidas resultantes en aproximadamente $821,920, convirtiendo este incidente en otro ejemplo de cómo las debilidades en la lógica específica del contrato del token pueden exponer la liquidez de las finanzas descentralizadas (DeFi).
Alerta de seguridad de SlowMist del 22 de octubre y pérdida estimada de $821,920
SlowMist identificó a NemTokenV2 como el contrato inteligente afectado y describió una secuencia en la que el atacante explotó repetidamente inconsistencias entre la actividad de venta registrada y el asentamiento real en el exchange. El ataque reportado involucró 42 repeticiones de transferencias de tokens y operaciones de gestión de liquidez que alteraron progresivamente los saldos de reserva del pool. Luego, el atacante utilizó el desequilibrio de precios resultante para intercambiar los tokens NEM restantes por USDT a una tasa artificialmente elevada. Cada operación repetida contribuyó a las condiciones que hicieron financieramente ventajoso el intercambio final.
La pérdida estimada de $821,920 representa el impacto financiero reportado por SlowMist, no un cálculo independientemente confirmado de la ganancia neta del atacante. Aunque los hallazgos iniciales de seguridad identificaron funciones de contrato relevantes y el par de trading afectado, no se ha establecido independientemente un desglose financiero completo transacción por transacción. La cantidad final retenida por el atacante podría diferir de las pérdidas estimadas del fondo una vez que se consideren los costos de transacción, el capital inicial y cualquier movimiento adicional de activos. Cualquier devolución confirmada de los activos extraídos también afectaría el impacto financiero restante.
Vulnerabilidad de liquidación de NemTokenV2 y exposición de liquidez en PancakeSwap
La vulnerabilidad reportada se refería a la forma en que NemTokenV2 procesaba los tokens transferidos a su pool de liquidez. La lógica de su contrato contaba ciertas transferencias entrantes como actividad de venta sin verificar adecuadamente si un exchange asociado había liquidado. Esto creó una inconsistencia entre la contabilidad interna del token y la actividad comercial real que tenía lugar en el pool. Para los mecanismos de contabilidad vinculados al volumen de ventas, esta distinción puede determinar cuándo se activan las operaciones automáticas de liquidez.
El incidente también demuestra por qué los mecanismos específicos de tokens requieren una integración cuidadosa con liquidity pools. Estos pools dependen de saldos precisos de activos para respaldar el comercio descentralizado, pero las funciones personalizadas de tokens pueden introducir riesgos adicionales cuando sus supuestos contables no coinciden con las transacciones completadas. La debilidad reportada se refirió a NemTokenV2 y no a una vulnerabilidad demostrada en los contratos estándar de exchange de PancakeSwap. En consecuencia, el incidente no debe interpretarse como evidencia de que todos los pares de trading de PancakeSwap hayan sido afectados.
Cómo la vulnerabilidad de NemTokenV2 permitió 42 manipulaciones de pools de liquidez
La explotación de NemTokenV2 se centró en una discrepancia entre las ventas de tokens registradas y el asentamiento real en el exchange. Se informa que el contrato afectado permitía transferencias hacia la piscina de liquidez para influir en su contabilidad relacionada con la venta, incluso cuando no se había confirmado ningún intercambio correspondiente. El atacante utilizó esta debilidad junto con operaciones repetidas del contrato para alterar los saldos de reserva y crear condiciones de operación favorables. Comprender el mecanismo requiere distinguir el comportamiento ordinario del automated market maker de la lógica del token vulnerable que interactúa con él.
Defecto de verificación de liquidación en la contabilidad de tokens de NemTokenV2
En un exchange descentralizado, transferir tokens a un pool de liquidez no implica automáticamente que se haya completado una venta. Un intercambio válido implica que el contrato de intercambio procese la transacción y contabilice los activos involucrados. Se informa que NemTokenV2 no hizo esta distinción al registrar ciertas transferencias como actividad de venta. Como resultado, su contabilidad interna podría reflejar actividad que no generó un intercambio completado correspondiente. La verificación adecuada del asentamiento requeriría que el contrato distinga entre transferencias entrantes e intercambios que realmente se hayan ejecutado.
El atacante explotó esta inconsistencia mediante operaciones que involucran skim() y flushLpSellRecycle(). En PancakeSwap V2, skim() transfiere los saldos de tokens que exceden las reservas registradas del par, mientras que sync() actualiza esas reservas registradas para que coincidan con los saldos reales. Estas funciones cumplen propósitos diferentes y no son inherentemente vulnerables. El ataque reportado dependió de cómo la lógica personalizada de reciclaje del token afectado interactuó con el pool, permitiendo la manipulación repetida de las reservas. Esta distinción es importante porque llamar a skim() por sí sola normalmente no reduce las reservas registradas de un pool de liquidez.
Reducciones repetidas de reserva e inflación artificial del precio de NEM
SlowMist informó que el atacante repitió la secuencia de manipulación 42 veces, combinando transferencias de tokens con operaciones skim() y flushLpSellRecycle(). La secuencia redujo las reservas de NEM de la piscina en relación con sus tenencias de USDT. En una piscina de liquidez de producto constante, las cantidades relativas de dos activos influyen en la tasa de cambio cotizada, por lo que reducir las reservas de un activo en relación con el otro puede aumentar su precio implícito. El atacante utilizó este desequilibrio para vender sus tenencias restantes de NEM por USDT bajo condiciones de precios distorsionadas. Las 42 repeticiones reportadas no deben tratarse automáticamente como 42 transacciones separadas en la cadena de bloques, ya que una sola transacción puede ejecutar múltiples llamadas de contrato. Los cambios exactos en las reservas y las cantidades individuales de las transacciones requerirían una reconstrucción completa en la cadena.
Extracción de USDT, distorsión de precios y la diferencia entre el token NEM y XEM
Las consecuencias financieras del exploit se extendieron más allá de la manipulación reportada de las reservas. Al modificar el saldo de activos dentro de la piscina de operaciones afectada, el atacante creó un tipo de cambio que podría diferir sustancialmente de los precios respaldados por la actividad de mercado ordinaria. La extracción final de USDT reflejó este desequilibrio de precios local, no un crecimiento verificado independientemente del valor de mercado general del token. Identificar el activo afectado es igualmente importante, ya que el token mencionado en el informe de seguridad no ha sido vinculado concluyentemente al XEM nativo.
Cómo el atacante extrajo USDT de la piscina de PancakeSwap
La etapa final implicó intercambiar los tokens NEM restantes del atacante después de que se hubiera alterado la estructura de reservas del pool. Con menos tokens NEM disponibles en relación con el USDT, el pool ofreció una tasa de cambio implícita más alta para el NEM. Se informa que el atacante aprovechó ese desequilibrio para recibir USDT a un precio que no reflejaba condiciones normales de negociación. Esta actividad contribuyó a la pérdida estimada de aproximadamente $821,920 mencionada en los hallazgos de seguridad de SlowMist.
Determinar los ingresos reales del atacante requiere más que la cifra de pérdida reportada. Los investigadores necesitarían examinar registros de transacciones verificadas, saldos iniciales de activos, transferencias de USDT, costos de ejecución y cualquier tenencia restante. También necesitarían distinguir el valor retirado del pool de liquidez de la cantidad finalmente controlada por el atacante. Revisar estos movimientos cronológicamente ayudaría a separar las transferencias temporales de los activos que el atacante retuvo finalmente. Sin esa información, describir la pérdida estimada completa como ganancia realizada exageraría lo que establece la evidencia disponible.
Inflación del precio del pool de liquidez frente al valor real del mercado de NEM
El precio de un token dentro de una piscina descentralizada de liquidez depende de los activos disponibles en ese par de trading específico. Cuando los saldos de reserva cambian bruscamente, la tasa de cambio cotizada puede divergir de los precios disponibles en otros lugares. La manipulación reportada de NemTokenV2 creó tal distorsión dentro de la piscina afectada USDT/NEM, pero eso no establece un aumento comparable en la valoración de mercado general del token. Una comparación confiable a nivel de mercado requeriría precios ejecutados en otros intercambios durante el mismo período.
La profundidad de liquidez puede intensificar estos efectos. Un pool con relativamente pocos activos disponibles generalmente experimenta un mayor impacto de precio ante cambios en las reservas que un mercado más profundo que maneja transacciones comparables. Esto significa que un precio del pool notablemente elevado puede no representar una tasa a la cual los traders comunes puedan ejecutar ventas grandes. No se ha establecido, mediante datos de mercado verificados independientemente, un aumento equivalente en otros intercambios, por lo que este incidente no debe presentarse como un repunte generalizado del mercado NEM.
NemTokenV2 y XEM nativo no son automáticamente el mismo activo
La distinción entre NemTokenV2 y XEM, la criptomoneda nativa de la cadena de bloques original NEM, es esencial. La documentación oficial de NEM identifica a XEM como la moneda digital nativa de la red. Sin embargo, los informes del incidente del 22 de octubre describen un contrato inteligente denominado NemTokenV2 asociado a un par de trading en PancakeSwap. Un nombre o ticker de proyecto compartido no establece que dos activos sean idénticos o estén oficialmente conectados.
Confirmar la relación requeriría examinar la dirección del contrato verificado del token afectado, la documentación de emisión y las declaraciones de los operadores del proyecto relevante. El historial de despliegue del contrato también podría ayudar a establecer su origen y cualquier conexión documentada con el proyecto NEM. Hasta que se establezca esa conexión, las pérdidas reportadas deben atribuirse al contrato afectado y al pool de liquidez, y no a la cadena de bloques NEM original ni a todos los titulares de XEM. Esta distinción ayuda a los inversores a evitar confundir una explotación específica de un token con un fallo de seguridad que afecte a toda una red de cadena de bloques.
Consecuencias del exploit de NEM: Riesgos de seguridad en DeFi, estado de recuperación y perspectiva
Las consecuencias de la explotación del token NEM generan preocupaciones sobre la recuperación de fondos, la exposición de los proveedores de liquidez y la seguridad de los mecanismos de contrato inteligente personalizados. Tras la divulgación de SlowMist el 22 de octubre de 2026, las preguntas más importantes sin resolver involucran el estado de la corrección del contrato afectado, el movimiento de los activos extraídos y la confiabilidad de la liquidez comercial restante. Aunque los informes iniciales establecen la naturaleza de la vulnerabilidad supuesta, no proporcionan un relato completo de los esfuerzos de recuperación posteriores ni de los acuerdos de compensación.
Estado de la recuperación de fondos y la corrección de NemTokenV2
Al 23 de octubre de 2026, los informes de incidentes revisados no han establecido una cantidad verificada de fondos recuperados, un plan de compensación confirmado ni un parche de seguridad completado para NemTokenV2. SlowMist habría publicado direcciones asociadas con el atacante, el contrato de explotación y el token afectado, proporcionando posibles puntos de partida para una investigación adicional en la cadena de bloques. Sin embargo, identificar esas direcciones no establece que los fondos hayan sido congelados o devueltos. Cualquier recuperación confirmada requeriría transacciones en cadena que lo respalden o declaraciones confiables de las partes responsables. La ausencia de información verificada sobre la recuperación en las fuentes revisadas no debe interpretarse como prueba de que no se haya realizado ninguna actividad de recuperación.
Riesgos del proveedor de liquidez DeFi e implicaciones para el comercio
Los proveedores de liquidez y los operadores enfrentan riesgos diferentes cuando las reservas de un pool se distorsionan. Los proveedores pueden experimentar cambios en el valor y la composición de sus posiciones de liquidez, mientras que los operadores pueden encontrarse con deslizamientos sustanciales, profundidad de operación limitada y ofertas de exchange poco confiables. Las pérdidas exactas sufridas por los participantes individuales no han sido cuantificadas de forma independiente. Cualquier persona que evalúe la exposición debe verificar la dirección del contrato afectado y revisar las transacciones del monedero relevante en lugar de confiar únicamente en el nombre del token. También hay evidencia insuficiente para conectar el incidente con una caída o recuperación más amplia del precio de XEM, lo que hace que las conclusiones a nivel de mercado sean prematuras.
Mejoras en la seguridad de los contratos inteligentes y further investigation
La vulnerabilidad reportada resalta la importancia de validar los intercambios completados antes de actualizar los registros de venta específicos de tokens. Los desarrolladores que revisen mecanismos similares deben examinar cómo la contabilidad de transferencias interactúa con las funciones de gestión de liquidez, especialmente cuando llamadas repetidas pueden desencadenar cambios en las reservas. auditorías independientes de contratos inteligentes, simulaciones de transacciones y pruebas de operaciones repetidas pueden ayudar a identificar debilidades que las verificaciones de transacciones aisladas pasan por alto. En general, comprender cómo surgen los exploits de contratos inteligentes puede ayudar a explicar por qué la lógica de contabilidad específica de tokens requiere escrutinio, incluso cuando las funciones de intercambio subyacentes operan según lo diseñado. Para NemTokenV2, una corrección técnica confirmada y una implementación revisada independientemente proporcionarían evidencia más sólida de corrección que una garantía sin respaldo.
Perspectiva futura de la liquidez del token NEM y la confianza de los inversores
Los siguientes desarrollos importantes serían una respuesta técnica documentada, un movimiento verificado o la recuperación de USDT extraído, e información confiable sobre el estado del pool de operación afectado. Una corrección de contrato confirmada o una investigación transparente podrían ayudar a los participantes del mercado a evaluar si la vulnerabilidad identificada ha sido abordada. Por el contrario, debilidades contables no resueltas y liquidez inestable podrían complicar la operación y la determinación de precios. Estos son escenarios potenciales, no pronósticos establecidos, y no se ha identificado ningún plazo de recuperación verificado ni objetivo de precio del token. La importancia a largo plazo del incidente dependerá de la evidencia de una remediación efectiva y un informe transparente, más que de predicciones especulativas del mercado.
Conclusión
La explotación del token NEM del 22 de octubre de 2026 demuestra cómo las debilidades en la contabilidad personalizada de contratos inteligentes pueden exponer la liquidez de exchange descentralizados a pérdidas financieras. SlowMist estimó el daño en aproximadamente $821,920, con el ataque reportado que involucró 42 operaciones repetidas que manipularon las reservas antes de la extracción de USDT.
Las preguntas más importantes sin responder se refieren al impacto financiero final, los fondos recuperados, la seguridad del contrato afectado y su relación con XEM nativo. Hasta que esos detalles sean verificados independientemente, el incidente se debe entender mejor como una explotación reportada del pool de liquidez NemTokenV2, y no como evidencia de una vulnerabilidad que afecte la cadena de bloques original de NEM. Para los participantes en DeFi, refuerza la importancia de la verificación de liquidación, la identificación confiable de contratos y la transparencia en los informes de seguridad.
Preguntas frecuentes
¿Cómo pueden los usuarios verificar el contrato afectado de NemTokenV2?
Los usuarios pueden comparar la dirección del contrato publicada en la alerta de seguridad de SlowMist con los registros del Explorador de cadena de bloques, incluyendo código fuente verificado, transferencias de tokens e interacciones del contrato. Verificar la dirección exacta es más confiable que usar solo el nombre del token, ya que proyectos de criptomonedas no relacionados pueden usar nombres o códigos de cotización similares.
¿Cómo pueden los operadores verificar si sus monederos interactuaron con el pool de liquidez afectado?
Los operadores pueden revisar el historial de transacciones de su monedero en el Explorador de la cadena de bloques correspondiente e identificar intercambios anteriores, depósitos de liquidez o retiros relacionados con el par USDT/NEM afectado. Las direcciones del contrato y los registros de transacciones pueden ayudar a determinar si un monedero interactuó con ese mercado. Sin embargo, una interacción previa no establece automáticamente una pérdida financiera.
¿La explotación del token NEM comprometió la stablecoin USDT en sí?
No hay evidencia verificada de que el contrato inteligente subyacente de USDT haya sido comprometido. El incidente reportado implicó la extracción de USDT mediante precios manipulados en un pool de liquidez específico de PancakeSwap. Una vulnerabilidad en un contrato de token o par de trading no establece un fallo de seguridad que afecte a USDT en otras redes o exchanges.
¿Significa la aprobación de un token que un monedero fue afectado por la explotación?
La aprobación de tokens otorga a un contrato inteligente permiso para transferir una cantidad especificada de criptomoneda, pero la aprobación por sí sola no implica que los fondos hayan sido movidos o perdidos. Los usuarios pueden revisar los permisos de gasto existentes y revocar las aprobaciones que ya no necesiten. Revocar el permiso no recupera los activos ya retirados de un pool de liquidez.
¿Pueden los operadores vender tokens a un precio de la piscina de liquidez inflado artificialmente?
No necesariamente. Una tasa de cambio mostrada puede diferir del precio de ejecución real, ya que cada operación cambia los saldos de activos del pool y puede implicar deslizamiento y comisiones. Las ventas grandes pueden recibir considerablemente menos que la oferta inicial, especialmente en pools con liquidez limitada. Un precio artificialmente elevado no debe considerarse como una indicación confiable del valor de mercado realizable.
¿Las 42 manipulaciones reportadas representan 42 transacciones separadas en la cadena de bloques?
No necesariamente. La cifra reportada por SlowMist se refiere a 42 repeticiones de la secuencia de manipulación, no a un número verificado independientemente de transacciones separadas. Una sola transacción en la cadena de bloques puede ejecutar múltiples llamadas de contrato. Confirmar el recuento de transacciones requiere revisar los hashes relevantes y las trazas de ejecución.
Descargo de responsabilidad: Esta información general del mercado, posiblemente proveniente de fuentes terceras, comerciales o patrocinadas, se proporciona únicamente con fines de referencia y educativos y no constituye asesoramiento financiero o de inversión, una oferta, solicitud o garantía. Renunciamos a toda responsabilidad por su precisión, integridad, confiabilidad y cualquier pérdida resultante. Las inversiones/opciones de trading son arriesgadas; el rendimiento pasado no garantiza resultados futuros. Los usuarios deben investigar, juzgar con prudencia y asumir toda la responsabilidad. Para más detalles, consulte las Condiciones de uso y Divulgación de riesgos de KuCoin.
Aviso: Esta página fue traducida utilizando tecnología de IA para tu conveniencia. Para obtener la información más precisa, consulta la versión original en inglés.