El token MAPO de Map Protocol se desploma un 96% tras un exploit en el bridge que acuñó 1 cuatrillón de tokens

MAPO, el token nativo de Map Protocol, se hundió cerca de un 96% después de que atacantes aprovecharan una vulnerabilidad en el bridge cross-chain Butter Network para acuñar una cantidad masiva de tokens sin autorización. La firma de seguridad blockchain Blockaid estima que el atacante generó alrededor de 1 cuatrillón de MAPO —unas 4,8 millones de veces el suministro legítimo, cercano a 208 millones— y vendió después unos 1.000 millones de MAPO en pools de liquidez de Uniswap, presionando el precio de forma abrupta. Datos clave - Tokens acuñados: ~1 cuatrillón de MAPO (≈ 4,8M× el suministro legítimo de ~208M) - Ventas al mercado: ~1.000 millones de MAPO en pools de Uniswap - Fondos convertidos: ~52 ETH (unos 180.000 dólares) - Saldo restante del atacante: cerca de 1 billón de MAPO, con potencial para afectar a otros pools y listados en exchanges - Impacto en el precio: MAPO cayó de ~0,003 dólares a casi 0,0001 dólares en cuestión de horas (≈96%), según CoinGecko - Origen de la falla: bug de contrato en Solidity en Butter Bridge V3.1, capa OmniServiceProxy; no se debió a claves robadas ni a una ruptura de la verificación del light client Cómo se produjo el ataque (resumen técnico) Según Blockaid, el atacante envió primero un mensaje legítimo firmado por el multisig del oráculo y, a continuación, desplegó un contrato malicioso en una dirección concreta. Después reenvió un mensaje cross-chain de "retry" con un payload ligeramente modificado. El bridge validaba los reintentos usando keccak256(abi.encodePacked(...)) sobre varios campos dynamicbytes. Al concatenarse sin prefijos de longitud (abi.encodePacked no incluye longitudes), podían generarse límites ambiguos y una colisión, de modo que el reintento manipulado pasaba por válido. El sistema aceptó el mensaje y ejecutó una acuñación no autorizada. Blockaid subraya que se trata de una vulnerabilidad clásica de codificación en Solidity, no de claves comprometidas ni de fallos criptográficos. Respuesta de Map Protocol Map Protocol confirmó que el problema está en la implementación del contrato en Solidity y aseguró que ni su light client ni el multisig del oráculo fueron comprometidos. El equipo: - Pausó la operativa de la mainnet e inició un proceso de migración - Indicó que publicará por separado la nueva dirección del contrato y el calendario del snapshot de activos - Afirmó que los tokens en wallets vinculadas al atacante quedarán excluidos de futuros eventos de conversión y se invalidarán durante la migración Contexto: los bridges siguen siendo un punto crítico Los bridges cross-chain han vuelto a ser objetivo recurrente este año. Blockaid y otras firmas comparan el incidente con otros casos en los que mensajes falsificados o validados de forma incorrecta permitieron acuñaciones o transferencias no autorizadas, como el exploit del bridge de Verus (más de 11,5 millones de dólares) y los incidentes de Nomad y Wormhole en 2022. Entre ataques recientes se cita el exploit de 2,68 millones de dólares en TON-TAC en mayo (el proyecto recuperó cerca del 80% de los activos) y eventos de seguridad reportados por proyectos como THORChain, Transit Finance, TrustedVolumes, Echo Protocol, Ekubo y RetoSwap. Qué hace Map Protocol Map Protocol es una red omnichain orientada a conectar Bitcoin con ecosistemas como Ethereum, BNB Chain, Tron y Solana, facilitando transferencias cross-chain de Bitcoin, stablecoins y activos tokenizados. El episodio pone de relieve el riesgo sistémico de la infraestructura de interoperabilidad, donde detalles de codificación de mensajes, lógica de reintentos y validación pueden desencadenar disrupciones rápidas y de gran magnitud. Qué vigilar a partir de ahora - El calendario de migración y el anuncio de la nueva dirección del contrato - Si exchanges y proveedores de liquidez retiran el token o aplican listas negras a los MAPO bajo control del atacante - Nuevos hallazgos forenses de Blockaid o de auditores independientes que delimiten el alcance de la vulnerabilidad y las medidas de corrección El caso refuerza una lección recurrente: la validación de mensajes cross-chain y las prácticas seguras de codificación en Solidity siguen siendo determinantes para la seguridad de los bridges.