Un desarrollador con el alias Florent ejecutó el lunes un exploit whitehat para rescatar 1.003 ETH (unos 2 millones de dólares) que llevaban bloqueados en un contrato inteligente de una ICO de 2016 durante casi nueve años, permitiendo por primera vez el acceso de los inversores originales a los fondos desde que se desplegó el contrato.
El exploit se dirige a una vulnerabilidad en la lógica de permisos del contrato que había congelado los saldos sin una vía de retirada. Florent hizo público el método para que los inversores afectados puedan reclamar su parte por su cuenta, sin necesidad de confiar en un custodio intermediario, una elección estructural que refleja la transparencia de los análisis post-mortem que ya es estándar tras los grandes incidentes en DeFi.
Por qué importa
El rescate llega en un mercado que ha visto cómo se drenaban miles de millones mediante exploits hostiles a lo largo de esa misma ventana de nueve años, por lo que una devolución whitehat del capital de los inversores, en lugar de un drenaje oportunista, es una señal contraria digna de destacar. Los contratos de la era de las ICO son un conocido cementerio de fondos varados, y las recuperaciones exitosas suelen atraer de nuevo la atención de la larga cola de tenedores que ya habían dado esos saldos por perdidos. El hecho de que Florent optara por la divulgación en lugar de la extracción también reaviva la eterna cuestión de si los exploits whitehat ofrecen una cobertura legal y reputativa real cuando no existe un programa de recompensas porbugs que compense al rescatador.
El método, en resumen
Florent explicó el enfoque paso a paso en una publicación pública: identificó la función de permiso que bloqueaba las transferencias, construyó un payload que el contrato seguía aceptando como válido y demostró que la vulnerabilidad permitía cambiar el estado de los saldos congelados sin necesidad de una clave de propietario. La parte clave de la divulgación es que cualquiera puede replicar la llamada, lo que pone el poder de retirada en manos de cada inversor, no del rescatador. Esa dinámica, ejecución pública y sin recompensa acordada, es la que reabre el debate sobre los incentivos del whitehat.
Preguntas frecuentes
-
¿Cuánto ETH se rescató del contrato de la ICO de 2016?
Florent liberó 1.003 ETH, por valor aproximado de 2 millones de dólares en el momento del rescate, fondos que llevaban varados en el contrato desde su despliegue en 2016.
-
¿Por qué los fondos estuvieron bloqueados durante nueve años?
La vulnerabilidad estaba en la lógica de permisos del contrato: los saldos de los inversores seguían registrados en la cadena, pero no existía ninguna vía de retirada, por lo que el ETH no podía ser movido por sus propietarios originales.
-
¿Quién es Florent y qué hizo el desarrollador?
Florent es un desarrollador whitehat que explotó el fallo de permisos del contrato para reabrir una vía de retirada y luego hizo público el método para que los inversores originales pudieran reclamar su parte directamente.
-
¿Tienen que confiar los inversores en Florent para recuperar su ETH?
No. Como el método se hizo público, los tenedores pueden ejecutar la recuperación por su cuenta, sin pasar por un intermediario ni por el rescatador.
-
¿Suelen darse este tipo de recuperaciones en cripto?
Las recuperaciones de fondos varados de la era de las ICO son raras, y las intervenciones whitehat exitosas que devuelven capital a los inversores originales son un subconjunto aún menor: la mayoría de los contratos ICO con saldos congelados se quedan congelados para siempre.
WuBlockchain
CryptoSlate
TheBlock
CoinDesk