Los hackers roban contratos inteligentes olvidados: 17 millones de dólares robados en tan solo 40 días.

En lugar de atacar protocolos nuevos y bien protegidos, los hackers atacan cada vez más contratos inteligentes antiguos y obsoletos que todos han olvidado. En los últimos 40 días (del 7 de mayo al 15 de junio de 2026), los atacantes extrajeron casi 17 millones de dólares de contratos que se consideraban obsoletos, pero que seguían activos en la cadena de bloques y tenían un valor económico real.

No se trata de una serie de incidentes aislados, sino de una clara tendencia emergente. Los contratos obsoletos siguen reteniendo fondos, permisos, aprobaciones o autoridad operativa mucho después de que los equipos hayan dejado de mantenerlos o supervisarlos.

Incidentes específicos ocurridos en los últimos 40 días

Estos son los cinco casos documentados públicamente que conforman este total de aproximadamente 17 millones de dólares:

TrustedVolumes (Ethereum)

TrustedVolumes, un proveedor de liquidez y creador/resolutor de mercado utilizado por 1inch Fusion, fue víctima de una vulnerabilidad en su proxy de intercambio RFQ personalizado. El atacante eludió un límite de autorización y accedió a una ruta de código que nunca debería haber sido accesible para un usuario no autorizado.

Entre los fondos robados se encontraban WETH, USDT, WBTC y USDC. Posteriormente, los activos robados fueron blanqueados mediante Tornado Cash y otros mezcladores. 1inch aclaró que su protocolo principal no se vio afectado.

Huma Finance V1 Pools (Polígono)

Los atacantes explotaron un error lógico en la gestión del ciclo de vida del crédito de los contratos V1 BaseCreditPool obsoletos. Realizaron retiros no autorizados, drenando aproximadamente 82.316 USDC + 19.075 USDC.e.

Los fondos ya estaban en proceso de liquidación. Huma Finance suspendió rápidamente los contratos afectados, publicó un análisis posterior al incidente y confirmó que su sistema V2 en Solana y los fondos de los usuarios en la plataforma actual no se vieron afectados.

Taquilla DxSale V1 (cadena BNB)

La mayor pérdida del período. Los atacantes vaciaron más de 1400 fondos de liquidez heredados del antiguo contrato de almacenamiento V1 (implementado en 2021).

La vulnerabilidad fue posible gracias a una transferencia de propiedad previa del contrato de almacenamiento (269 días antes) combinada con el abuso de funciones privilegiadas: el atacante redujo las tarifas de modificación a 1 wei, restableció las marcas de tiempo de bloqueo y realizó retiros por lotes. Los almacenes V2+ permanecieron seguros.

Raydium Legacy AMM V3 (Solana)

Los hackers explotaron cinco pools de liquidez obsoletos en el antiguo programa AMM V3 de Raydium (que se eliminó gradualmente en 2021). La vulnerabilidad radicaba en la validación insuficiente de las direcciones de emisión de tokens LP.

El atacante creó una máquina de acuñación de tokens SPL falsa, acuñó un token LP falsificado y utilizó la función de retiro heredada para drenar la liquidez real. Raydium confirmó el incidente y se comprometió a compensar íntegramente a los usuarios afectados con fondos propios. Los pools y usuarios actuales no se vieron afectados.

Aztec Connect (Ethereum)

Dos ataques distintos, perpetrados en días consecutivos, tuvieron como objetivo los contratos obsoletos de Aztec Connect (que dejarán de estar disponibles en 2023). Dichos contratos eran inmutables y las claves de administrador ya habían sido renunciadas.

Los atacantes explotaron una vulnerabilidad en la lógica de verificación de pruebas (una discrepancia entre la validación de pruebas ZK y los mecanismos de liquidación/salida en la cadena de bloques), agotando el valor atrapado que ya no podía pausarse ni actualizarse. Aztec Labs no tenía control sobre los contratos.

Aquí tienes una tabla resumen para una consulta rápida:

Qué deben hacer los proyectos: Un proceso adecuado para la retirada de contratos inteligentes

Simplemente deshabilitar la interfaz o anunciar que un contrato está "obsoleto" no es suficiente. Un contrato solo se considera realmente retirado cuando se eliminan por completo los valores, los permisos y las suposiciones de confianza.

Esto es lo que debería incluir un proceso de jubilación adecuado:

1. Elimine todo valor antes de eliminar la atención. Retira todos los tokens, posiciones de liquidez y recompensas. Proporciona a los usuarios instrucciones claras para la migración e incentivos. Ningún sistema debe dejar de ser supervisado mientras pueda custodiar o transferir los activos de los usuarios.
2. Revocar todos los permisos y privilegios. Realice un inventario completo y revoque las autorizaciones, los derechos de propiedad, los firmantes, los intermediarios, los custodios, los enrutadores y cualquier privilegio administrativo. El hecho de que “ya no utilicemos este contrato” no significa que ya no pueda transferir fondos.
3. Implementar la monitorización de cualquier actividad (alertas de "resurrección"). Configure alertas para nuevos depósitos en fondos heredados, aprobaciones a usuarios que ya han realizado gastos, cambios inesperados en el saldo, llamadas a funciones inactivas y actividad a través de rutas privilegiadas olvidadas. Mantenga los contratos heredados en programas de recompensas por detección de errores y en la monitorización de seguridad.
4. Tener un plan claro para el escenario "sin parches". Si un contrato es inmutable o se han renunciado a las claves de administrador, no se puede pausar ni actualizar. En estos casos, refuerce los incentivos para la migración, proporcione información clara sobre los riesgos y prepare un plan de respuesta a incidentes listo para su ejecución.

Conclusiones finales

La próxima gran pérdida en el sector DeFi podría no provenir de una nueva función llamativa. Podría provenir de un contrato que un equipo ya había anunciado como obsoleto y que, sin embargo, mantuvo vigente económicamente en la cadena de bloques.

Los equipos de seguridad se han vuelto muy buenos revisando lanzamientos. La siguiente disciplina que necesita la industria es revisar salidas.

Hasta que la correcta retirada de contratos se convierta en una práctica habitual, los contratos heredados seguirán siendo uno de los objetivos más fáciles y atractivos para los atacantes.