Un malware en el equipo de un desarrollador, origen del ataque al token H
El equipo del proyecto afectado por el incidente del token H atribuye el ataque a un fallo de seguridad operativa: un ordenador de un desarrollador infectado con malware habría expuesto siete claves privadas de producción. Con esas credenciales, el atacante tomó el control de la infraestructura del puente (bridge) y provocó uno de los mayores episodios con tokens del mes.
Según el informe post mortem del proyecto, el atacante drenó 141 millones de tokens H en Ethereum y, tras hacerse con permisos administrativos del bridge, acuñó otros 300 millones de tokens H en BNB Chain. El equipo subraya que no se ha detectado ninguna vulnerabilidad en los contratos del bridge, en los contratos del token ni en la arquitectura multisig. "No había ningún bug en el bridge, el token o el Safe", escribió el equipo.
De acuerdo con el informe, el atacante comprometió primero una cuenta externa (externally owned account) vinculada a la administración del bridge y después tomó el control de los contratos ProxyAdmin del protocolo. Eso le permitió actualizar las implementaciones del puente, extraer liquidez en Ethereum y emitir grandes cantidades de tokens H en BNB Chain.
El proyecto considera ahora "irrecuperable" el suministro de tokens en BNB Chain, ya que el atacante mantiene el control de permisos clave del bridge asociados a la infraestructura comprometida. En la práctica, lo que empezó como una filtración de claves privadas derivó en una toma total del control administrativo del puente.
A diferencia de muchos ataques DeFi basados en fallos de contratos inteligentes o errores de lógica del protocolo, este caso apunta principalmente a deficiencias de seguridad operativa. El informe sostiene que una sola máquina infectada expuso siete claves de producción vinculadas a sistemas de bridge y administración, permitiendo al atacante actuar con permisos legítimos sin necesidad de saltarse directamente los mecanismos de seguridad del protocolo.
El incidente también reavivó el debate en Crypto Twitter. El investigador onchain ZachXBT cuestionó inicialmente la actividad de market making y operaciones OTC relacionadas con el proyecto, aunque más tarde aclaró que, según su análisis posterior, el "compromiso de clave privada" y la actividad "sospechosa de MM / OTC" parecían "independientes" y "no relacionadas". Sus comentarios reflejaron el escepticismo del mercado, mientras los operadores intentaban determinar si el ataque respondía a actividad interna o a un compromiso real de la infraestructura.
Resumen final: el exploit del token H se vinculó a un equipo de desarrollador infectado con malware que expuso siete claves privadas usadas para la administración del bridge. ZachXBT aclaró después que sus dudas sobre market making y actividad OTC no estaban conectadas directamente con el compromiso de las claves.
