- Un multisig de 1 de 3 comprometido permitió a los atacantes acuñar $13,5 millones en EURR y USDR antes de intercambiarlos por ETH.
- EURR cayó a ~$0.85 y USDR a ~$0.40 mientras tokens no respaldados inundaban los mercados y la liquidez colapsaba.
- Blockaid atribuyó la brecha a un fallo de gobernanza, destacando los riesgos derivados de una gestión débil de claves en los sistemas de stablecoin.
Las stablecoins StablR EURR y USDR perdieron su peg tras una explotación que involucró un monedero multisig comprometido y $13,5 millones en acuñación no autorizada. El incidente, reportado durante el fin de semana, vio cómo se emitieron tokens por encima de su respaldo y se vendieron rápidamente en exchanges descentralizados. Según el investigador onchain ZachXBT, el atacante posteriormente convirtió grandes porciones en ETH mientras el sistema seguía activo.
Explotación de multisig desencadena abuso de acuñación
La empresa de seguridad Blockaid informó que la brecha se originó en una configuración multisig de 1 de 3 que controla el contrato de acuñación de StablR. El atacante comprometió un firmante y obtuvo control administrativo.
Después del acceso, el atacante reemplazó a los propietarios existentes y acuñó 8.35 millones de USDR y 4.5 millones de EURR. Esto generó aproximadamente $13.5 millones en tokens no respaldados durante las primeras horas del exploit.
Según Blockaid, aproximadamente $10,4 millones se intercambiaron por ETH en exchanges descentralizados. Sin embargo, el deslizamiento redujo las ganancias realizadas iniciales a aproximadamente $2,8 millones.
Notablemente, el atacante también utilizó derechos administrativos para poner en lista negra y quemar tokens. Los registros en cadena mostraron que se retiraron aproximadamente 2,7 millones de EURR de un monedero activo en flujos normales de canje.
EURR y USDR rompen la estabilidad de la paridad
EURR y USDR perdieron su paridad poco después de que comenzara el exploit. EURR cayó a aproximadamente $0.85, mientras que USDR descendió hasta $0.40 durante el comercio.
Según los datos de CoinGecko, EURR operó cerca de $0.85 tras la ventana del ataque. USDR se recuperó ligeramente después, pero permaneció significativamente por debajo de la paridad.
Mientras tanto, ZachXBT señaló el incidente durante la actividad en curso y rastreó los movimientos del monedero financiados a través del Protocolo de Transferencia Cruzada de Circle. También informó sobre congelaciones parciales de fondos durante la ventana de explotación.
StablR confirmó el incidente horas después de que la actividad en la cadena disminuyera. La empresa declaró que estaba trabajando para contener la explotación y evaluar el impacto en el sistema.
Riesgos de gobernanza y contexto institucional
Blockaid atribuyó la brecha a un fallo en la gobernanza y la gestión de claves, y no a un error en el contrato inteligente. El umbral de firma de 1 de 3 se convirtió en el centro focal del análisis de seguridad.
StablR anteriormente contó con el respaldo de Tether y Kraken, posicionándose dentro de los mercados europeos regulados de stablecoins. El emisor opera bajo una licencia del regulador financiero de Malta.
Según divulgaciones anteriores, EURR y USDR procesaron más de 3 mil millones de euros en volumen de transacciones a principios de 2025. Los tokens también se listaron en más de 50 exchanges con más de 150 pares de trading.
El incidente se alinea con un patrón más amplio de explotaciones en 2026 que involucran acceso privilegiado y fallas de gobernanza en protocolos cripto.