Cinco meses dentro de 2026, y los ataques continúan. Blockaid, una empresa de seguridad blockchain, descubrió una nueva vulnerabilidad que apunta al Alephium TokenBridge de ethereum el 30 de mayo.
Según la investigación, tres de las cuatro claves de guardián comprometidas que firmaron VAAs falsificados (Verified Action Approvals) se utilizaron para vaciar $815,000 en siete minutos.
¿Cómo se vieron comprometidas las claves de guardián?
Para contexto, Alephium TokenBridge es un puente que conecta Ethereum y la cadena de bloques Alephium.
Cuando los usuarios cambian de Alephium a Ethereum [ETH], el ALPH real se bloquea en una sola cadena. En adelante, Ethereum se utiliza para acuñar una versión envuelta (wALPH).
Antes de permitir que se realice la acuñación, tres guardianes del puente confirman que el bloqueo se realizó efectivamente. Además, para verificar las transferencias entre cadenas, el sistema utiliza firmas de guardianes.
Para que un mensaje de transferencia sea aprobado por el puente, tres de los cuatro guardianes deben firmarlo. Sin embargo, en el ataque al Alephium TokenBridge, las tres claves privadas de los guardianes fueron de alguna manera obtenidas por los atacantes.
Después de obtener esas claves, fabricaron mensajes falsos de puente conocidos como VAAs y los hicieron parecer auténticos.
El giro de la ‘acuñación’
Además de acuñar ALPH, las VAAs forjadas le dieron al puente instrucciones para liberar activos que ya estaban arrestados.
Como resultado de que los atacantes convencieron al puente de que habían habido retiros válidos, Tether [USDT], USD Coin [USDC], Bitcoin Envuelto (WBTC) y Ether Envuelto (WETH) fueron desbloqueados.
Sin realizar un depósito real de ALPH, los atacantes crearon 13,76 millones de ALPH envuelto. Según Blockaid, esto superó el 100% de la oferta envuelta previamente disponible.
En otras palabras, el atacante produjo esencialmente una gran cantidad de activos respaldados por ALPH de la nada.
Ataques similares en el pasado
Esto se asemeja al Wormhole Bridge Exploit, en el que los atacantes crearon activos que nunca estuvieron respaldados por garantía y falsificaron mensajes de puente.
Además, esto siguió a un ataque reciente al puente Verus-Ethereum, que agotó aproximadamente $11,58 millones.
Resumen final
- En este ataque, tres de las cuatro claves de guardián comprometidas resultaron en la extracción de $815,000 en solo siete minutos.
- Los atacantes acuñaron 13,76 millones de ALPH envuelto sin depositar realmente ningún ALPH.