Tres proyectos de criptomonedas registraron daños combinados por más de 11 millones de dólares el 24 de septiembre, cuando Payy Network, Duelbits y Meter Network fueron atacados mediante métodos distintos.
Claves del episodio:
- Payy Network perdió unos 1,8 millones de dólares tras el vaciado de su puente en Ethereum, mientras Duelbits reportó un agujero cercano a 7 millones.
- Los atacantes de Meter acuñaron alrededor de 2,3 millones en activos sin respaldo y liquidaron parte de ellos a través de PancakeSwap.
- Los incidentes evidenciaron riesgos en puentes, monederos calientes y sistemas de verificación de tokens.
Ataques a Payy y Duelbits
Payy Network, una plataforma on-chain de nóminas y tesorería, detuvo su red tras el ataque a su puente en Ethereum (ETH). El analista on-chain Specter rastreó transferencias sospechosas a través del puente y señaló que el atacante había utilizado Railgun para financiarse antes de canjear unos 1,8 millones de dólares en USD Coin (USDC) por Ether. Payy explicó que los fondos drenados eran depósitos no custodiados pertenecientes tanto a Payy Network como a usuarios de Payy Wallet.
A continuación fue golpeada Duelbits. PeckShield cifró inicialmente las pérdidas en 4,3 millones de dólares, antes de que Specter identificara direcciones adicionales afectadas en Bitcoin (BTC) y Solana (SOL). Más tarde, un cofundador de Duelbits elevó el cálculo a cerca de 7 millones de dólares y aseguró: «Los fondos de los usuarios están a salvo».
El incidente de Meter respondió a un vector distinto. Blockaid informó de que un atacante explotó el protocolo Meter Passport para acuñar alrededor de 2,3 millones de dólares en activos sin respaldo, vendiendo posteriormente parte de ellos en PancakeSwap, mientras el token MTR (MTR) se desplomaba casi un 80% y MTRG (MTRG) caía en torno a un 75%.
También puedes leer: Ruptura de Ethereum depende de los 2.800 dólares tras recuperar la media de 200 días
Contexto de seguridad según Blockaid
Los investigadores de seguridad señalaron puntos de fallo distintos en cada uno de los tres casos, más que un exploit común. Payy indicó posteriormente que su primer análisis de causa raíz concluía que la brecha «NO fue consecuencia de una clave comprometida, ingeniería social ni explotación de nuestra infraestructura off-chain», mientras que los informes sobre Duelbits apuntan a una probable filtración de clave privada. En el caso de Meter, las conclusiones de Blockaid se centraron en una acuñación no autorizada a través de su puente.
La oleada de ataques coincidió además con la investigación de Bitget sobre transferencias no autorizadas de activos, inicialmente valoradas en unos 351,6 millones de dólares, lo que llevó al exchange a suspender temporalmente las retiradas para realizar comprobaciones de seguridad. La negociación y los depósitos siguieron operativos y la plataforma afirmó que los saldos mostrados a los usuarios permanecían correctos. De forma paralela, KelpDAO ha demandado a LayerZero y a su cofundador Brian Pellegrino por un hackeo de 292 millones de dólares, alegando que riesgos no revelados y deficiencias tecnológicas provocaron la pérdida.
Los incidentes del 24 de septiembre reavivaron además las dudas previas sobre la seguridad de dos de los proyectos afectados. Duelbits ya había sufrido en 2024 un ataque de unos 4,6 millones de dólares que CertiK vinculó a una posible filtración de clave privada, mientras que Meter padeció en 2022 un exploit en su puente valorado en unos 4,4 millones.
Lee a continuación: Michael Saylor quiere que los bancos conviertan Bitcoin en colateral cotidiano
