Un atacante drenó más de 9 millones de dólares de los pools de liquidez de XPR Network (XPR) en apenas 11 minutos, explotando un contrato de swap que aceptaba importes de retirada negativos.
Claves del ataque:
- Un atacante retiró más de 9 millones de dólares de los pools de liquidez de XPR Network en unos 11 minutos.
- El fallo estaba en una función de retirada que aceptaba valores negativos, lo que permitió inflar saldos internos antes de extraer tokens reales.
- Los productores de bloques parchearon el contrato y confiscaron unos 1.800 millones de XPR, manteniendo la mayor parte del botín en la cadena.
Exploit en el contrato de swaps de XPR Network
El ataque se centró en proton.swaps, el contrato de swaps on-chain de la red, donde el atacante drenó unos 1.560 millones de XPR, valorados en torno a 4,03 millones de dólares. Su función de retirada aceptaba valores negativos. Eso permitió al atacante inflar un saldo interno y después retirar tokens reales contra ese saldo ficticio, una maniobra que repitió en pools de stablecoins, activos puenteados y protocolos de préstamo hasta que el total superó los 9 millones de dólares.
Unos 563 millones de XPR, valorados en torno a 1,46 millones de dólares, se movieron después a través del protocolo de préstamos, tras tomar prestado contra las stablecoins robadas. Con ello, el volumen total de fichas afectadas ascendió a unos 2.120 millones de XPR, aproximadamente el 6,5% del suministro en circulación. Otros 764 millones de XPR, cercanos a 2 millones de dólares, acabaron más tarde en una segunda cuenta.
También puede interesarte: ETF de XRP marcan récord de 1.700 millones de dólares pese a 9 semanas de entradas con el precio débil
El precio de XPR pierde el soporte
El drenaje impactó en el mercado en cuestión de horas. XPR retrocedió hasta unos 0,0026 dólares el domingo, una caída de alrededor del 5,6% en 24 horas tras marcar un mínimo cercano a 0,00245 dólares, y se mantuvo por debajo de los 0,00271 dólares, nivel que venía actuando como soporte. El token había llegado a cambiarse a 0,00277 dólares durante la misma sesión, y su capitalización se redujo hasta unos 74 millones de dólares.
El RSI cayó hasta 27,47, claramente en zona de sobreventa. Esa lectura apunta a ventas unidireccionales más que a una simple revalorización ordenada, y un volumen diario en torno a 2,9 millones de dólares dejó escaso apetito comprador.
La cifra es modesta frente a las mayores pérdidas DeFi de este año. Lo relevante es el modo de fallo más que el total: la ausencia de una sola verificación sobre los valores de entrada permitió que el daño se extendiera más allá de un único contrato de swaps hacia pools de préstamos y de activos puenteados que compartían la misma liquidez. El atacante no necesitó flash loans ni manipular oráculos, solo aprovechar un signo menos que el contrato nunca rechazó.
Metallicus congela los XPR robados
Los productores de bloques parchearon el contrato a las 21:32 UTC y, unas dos horas más tarde, confiscaron alrededor de 1.800 millones de XPR, poniendo esos tokens bajo control de la comunidad. Solo 319,5 millones de XPR, de los 2.120 millones implicados, llegaron a salir de la red a otros destinos.
La mayor parte de la oferta afectada sigue por tanto siendo recuperable, un desenlace posible porque XPR Network funciona con prueba de participación delegada, donde un grupo reducido de productores elegidos puede actuar directamente sobre el estado de la cadena. La red ya había recurrido antes a ese mecanismo.
Metallicus, el desarrollador principal de XPR Network, informó de un exploit de reentrada contra su contrato de préstamos en septiembre de 2024, detuvo depósitos, préstamos y liquidaciones, congeló los fondos afectados y reabrió el servicio de crédito por fases al mes siguiente.
Lee a continuación: Sam Altman descarta una OPV de OpenAI en 2026 y culpa a las exigencias de seguridad en IA
