Un hacker ganó 1,2 millones de dólares con un solo tuit en la cuenta del CEO de Robinhood.

El jueves, alguien hackeó la cuenta X de Vlad Tenev y la utilizó para lanzar una criptomoneda falsa. Para cuando se percató del ataque, el atacante ya se había apoderado de aproximadamente 650 ETH, lo que equivale a entre 1,2 y 1,3 millones de dólares.

La publicación afirmaba que un token llamado Vladhood (VLAD) era la "mascota oficial" de Robinhood Chain, la red Ethereum de capa 2 de la compañía, que se lanzó el 1 de julio. También decía que VLAD estaría disponible en la aplicación de Robinhood. Ninguna de las dos afirmaciones era cierta. En 20 minutos, la publicación superó las 175.000 visualizaciones y la gente ya estaba comprando. El volumen de Uniswap del token alcanzó los 22 millones de dólares en pocas horas, lo que demuestra la rapidez con la que se mueve el mundo de las criptomonedas en Twitter cuando una cuenta "verificada" publica la dirección de un contrato.

Lo ingenioso no es el hackeo en sí. Las suplantaciones de identidad que impulsan tokens falsos se remontan a años atrás: Sydney Sweeney, 50 Cent, la lista habitual. Lo que es diferente aquí es cómo se extrajo el dinero. VLAD se lanzó a través de Pons, una plataforma que bloquea la liquidez pero permite que quien implementó el token cobre comisiones por transacción. Así que no hubo un robo de fondos clásico, ni vaciar el pool de una sola vez. El atacante simplemente llamó repetidamente a la función de retiro de comisiones y dejó que se extrajera ETH mientras el token seguía cotizando en segundo plano. Para cuando la cuenta de comunicaciones de Robinhood publicó una advertencia y el tuit desapareció, el dinero ya se había esfumado. Desde entonces, el explorador de Robinhood Chain ha marcado el contrato como una estafa.

Tenev recuperó su cuenta y les dijo a las personas que estaba "esperando detalles" de X, y, por si sirve de algo a estas alturas, que Robinhood no ha emitido ninguna criptomoneda propia.

Hay algo un tanto incómodo en el momento en que esto sucede. Robinhood creó esta cadena para promocionar acciones tokenizadas y activos del mundo real. En cambio, las memecoins prácticamente se han apoderado de ella. La red procesa millones de transacciones al día, y la mayoría no son activos del mundo real.

La cuenta de Tenev ni siquiera fue la peor de ese día. Lookonchain detectó tres exploits distintos ocurridos en aproximadamente 24 horas: AFX Trade, Verus y B² Network, con pérdidas combinadas de 35,55 millones de dólares. El puente Arbitrum de AFX Trade perdió 24,15 millones de dólares en USDC después de que alguien comprometiera las claves de firma de su validador. Verus fue atacado de nuevo: su puente Ethereum perdió 7,54 millones de dólares, solo dos meses después de un exploit casi idéntico de 8 millones de dólares en mayo. Blockaid afirma que ambos ataques utilizaron el mismo contrato, la misma ruta de entrada y el mismo fallo. Nadie lo solucionó la primera vez. B² Network perdió aproximadamente 3,86 millones de dólares en su propio token, que se desplomó rápidamente en BNB Chain.

La gente lo llama "Día de los Hackers", medio en broma. Cuatro incidentes, cuatro mecanismos diferentes: una cuenta secuestrada, dos exploits de puente, un volcado de tokens. No es una sola historia. Pero siempre tiene la misma estructura: encontrar lo único que nadie vigila con suficiente atención (una clave privada, un conjunto de validadores, una función de pago de la plataforma de lanzamiento) y extraerlo.