Un atacante acuña 10.000 millones de TOP y extrae unos 1,5 millones de dólares en un ataque de gobernanza

Investigadores de seguridad informaron de un asalto por toma de control de gobernanza que permitió a un atacante acuñar 10.000 millones de tokens TOP y drenar cerca de 1,5 millones de dólares en WETH de un pool de liquidez de Balancer en Ethereum. La firma de seguridad blockchain Blockaid indicó que el atacante extrajo 944,2 WETH, valorados en torno a 1,58 millones de dólares, del pool TOP/WETH de Balancer V1 tras explotar una configuración de gobernanza vinculada al ecosistema Token of Power (TOP). Los analistas subrayaron que Balancer no fue el componente vulnerable: el punto de entrada estuvo en la arquitectura de gobernanza del protocolo. Según Blockaid y CertiK, el atacante reunió previamente más del 50% del suministro de TOP y, con esa mayoría, impulsó una propuesta de gobernanza que acuñó miles de millones de TOP directamente en un contrato bajo su control. El ataque se apoyó, según se ha reportado, en una mala configuración en un Aragon DAO asociada a la estructura MiniMeToken de TOP. Blockaid explicó que el sistema de gobernanza permitía crear la propuesta, votar y ejecutarla dentro de una sola transacción, al no existir protecciones de timelock. Con ello, el atacante pudo asegurarse el control de voto mayoritario, ejecutar de inmediato la propuesta de acuñación, generar 10.000 millones de TOP y volcar esa nueva emisión en el pool de liquidez para obtener WETH. En palabras de Blockaid, la app de votación de Aragon permitía el flujo "create → vote → execute" en una única "tx" sin timelock. Por separado, CertiK señaló que el atacante retiró inicialmente 662 ETH de Tornado Cash antes de acumular suficientes TOP para lograr la mayoría de gobernanza. El episodio vuelve a poner el foco en la gobernanza como superficie de ataque en protocolos DeFi. A diferencia de exploits clásicos por fallos de código o ataques de reentrancia, las tomas de control de gobernanza aprovechan permisos administrativos y sistemas de votación ya integrados en los protocolos. Los timelocks suelen utilizarse en DAOs para ralentizar la ejecución y dar margen a la comunidad para reaccionar ante propuestas maliciosas; en este caso, la ausencia de retrasos permitió que el ataque se consumara de forma inmediata. El suceso también subraya los riesgos ligados a marcos antiguos de gobernanza de DAOs e infraestructura DeFi heredada que sigue operativa en Ethereum. Aragon y los esquemas basados en MiniMeToken fueron ampliamente adoptados en fases tempranas del ecosistema, pero algunas implementaciones pueden no ajustarse a los estándares actuales de seguridad. Resumen final: un atacante explotó una mala configuración de gobernanza para acuñar 10.000 millones de TOP y drenar aproximadamente 1,5 millones de dólares en WETH de un pool de Balancer. Los investigadores atribuyen el vector a una configuración de Aragon DAO que permitía crear, votar y ejecutar propuestas en una sola transacción sin timelock.