📚 Fuga de fondos en Aevo causada por un error en la configuración de oráculos ✅ Resumen En un Vault heredado de Ribbon Finance integrado en Aevo, aproximadamente 2,7 millones de dólares en fondos se perdieron debido a un error en la actualización de la configuración de oráculos. Este incidente no fue el resultado de un ataque técnico sofisticado, sino que se originó en deficiencias en la gestión de permisos y en el cálculo de precios, que fueron explotadas de forma encadenada. Se ha analizado cómo la desviación entre el diseño anterior y la nueva actualización condujo a un resultado catastrófico. ✅ Contexto de la integración de Ribbon a Aevo Ribbon Finance era conocido como uno de los primeros protocolos de opciones en DeFi, y posteriormente fue integrado en Aevo. Esta integración no significó el cierre del servicio, sino la decisión de continuar utilizando los Vaults existentes como una función central de Aevo. Por esta razón, los Vaults antiguos siguen operando en Ethereum y aún contienen fondos. ✅ Origen del problema: actualización de oráculos En diciembre de 2025, Aevo actualizó la configuración de oráculos de los Vaults heredados de Ribbon. Los oráculos son mecanismos críticos que proporcionan información de precios a los contratos inteligentes. Sin embargo, durante esta actualización, se eliminó el control de permisos de administrador, lo que permitió a cualquier persona cambiar los precios y la implementación. En esencia, se dejó la llave del cofre abierta. ✅ Errores de permisos y desviación en el cálculo de precios Tras la actualización, los oráculos asumían que los activos tenían 18 decimales, pero en los Vaults aún quedaban activos antiguos con 8 decimales. Esta diferencia generó un desajuste en los cálculos de precios, permitiendo a los atacantes establecer precios artificialmente altos. Además, la transferencia de propiedad de los oráculos se verificaba únicamente por tx.origin (el primer remitente de la transacción), lo que permitió a los atacantes actuar como administradores legítimos a través de ciertas direcciones específicas. ✅ Proceso del ataque Primero, los atacantes crearon opciones con condiciones fraudulentas. Luego, reemplazaron temporalmente la implementación del oráculo para alterar los precios. En este estado, al ejercer los oTokens (tokens que representan opciones), el Vault procesó la transacción como si fuera válida, pagando grandes cantidades de WETH y USDC. Repetiendo este proceso, el Vault quedó vacío en cuestión de minutos. ✅ Movimiento y ocultación de los fondos Los fondos robados se distribuyeron entre múltiples direcciones y se transfirieron en lotes pequeños. Este es un método típico para dificultar la rastreabilidad, y se cree que finalmente se planeaba utilizar mezcladores para ocultar su origen. También se ha señalado la posibilidad de que el ataque haya sido llevado a cabo por un grupo con roles definidos, no por un solo atacante. ✅ Respuesta de Aevo y confusión Tras descubrir el incidente, Aevo detuvo el Vault heredado de Ribbon. Inicialmente, propuso una solución que incluía la compensación parcial, pero tuvo que retractarse al darse cuenta de que su suposición era incorrecta. Como resultado, los usuarios que ya habían retirado fondos y los que aún tenían activos en el Vault se encontraron en situaciones muy diferentes. ✅ Lecciones aprendidas de este caso Este incidente no muestra que los contratos inteligentes antiguos sean inherentemente peligrosos, sino que subestimar el uso efectivo de los códigos en ejecución puede ser peligroso. Aunque se marque como "obsoleto", cualquier código que contenga fondos y permisos sigue siendo un blanco potencial para ataques. Este caso pone de relieve cómo ignorar el diseño anterior durante una actualización puede invalidar años de medidas de seguridad en cuestión de segundos.