La Fundación ICON señaló que el exploit de repetición del 27 de agosto liberó 119.866.000 ICX y 531.600 bnUSD de los activos en manos de la fundación. Dos mensajes legítimos de retirada fueron reutilizados 1.492 veces, con 1.490 llamadas exitosas; no se accedió a depósitos, saldos ni posiciones de usuarios. La pérdida neta confirmada fue de aproximadamente 150,2 ETH más 31.204 USDC, mientras que la mayor parte de los ICX fueron rastreados, congelados y permanecen en recuperación activa.
Por qué importa
El error modificó parte de un identificador de retirada sin alterar el payload firmado. Un cambio para estandarizar los mensajes de retirada a 32 bytes enrutó parte del número de serie a través de lógica de rango float64 en lugar de aritmética entera exacta. El atacante varió los bits altos sin signo mientras la firma seguía verificando los mismos 256 bits bajos, lo que derrotó la comprobación de unicidad. Dos llamadas se revertieron, y cada llamada exitosa acreditó un monedero de relayer.
ICON señaló que el fallo era específico de su implementación. Otras cadenas soportadas usaban enteros de ancho fijo que no podían generar el desajuste. Una auditoría de relay de noviembre de 2025 no incluyó el código del contrato de migración afectado, y ninguno de sus nueve hallazgos señaló el problema del número de serie.
Impacto en el mercado
La liberación de 119,9M ICX no equivale a la pérdida confirmada. ICON señaló que la mayor parte de los ICX fueron rastreados, congelados y están en recuperación activa, mientras que bnUSD y SODA fueron recuperados en su totalidad. Los ICX en manos de exchanges siguen sujetos a revisión porque no se disponía de las cantidades exactas mantenidas, convertidas o retiradas.
La monitorización se disparó a las 02:08 UTC, pero el contrato se pausó 105 minutos después, una vez que los ICX habían comenzado a moverse hacia direcciones de depósito de exchanges. Bitvavo, Bitget y KuCoin suspendieron las transferencias de ICX, y la red se detuvo durante aproximadamente 25 horas. Los totales de recuperación, las cifras de los exchanges y la respuesta de la auditoría son las próximas actualizaciones relevantes.
Preguntas frecuentes
-
¿Cuál fue la pérdida neta confirmada por el exploit de ICON?
ICON cifró la pérdida neta hasta la fecha en aproximadamente 150,2 ETH más 31.204 USDC. La liberación de 119.866.000 ICX no equivale a la pérdida confirmada porque la mayor parte de los ICX fueron rastreados, congelados y están en recuperación activa.
-
¿Cómo hizo el fallo de repetición que los mismos mensajes parecieran únicos?
Un cambio para estandarizar los mensajes de retirada a 32 bytes enrutó parte del número de serie a través de lógica de rango float64. El atacante varió los bits altos sin signo, mientras que la verificación de la firma seguía cubriendo los 256 bits bajos inalterados.
-
¿Afectó el exploit a depósitos, saldos o posiciones de trading de los usuarios?
No. ICON señaló que el exploit liberó activos en manos de la fundación y no accedió a depósitos, saldos ni posiciones de usuarios.
-
¿Cuánto tardó ICON en pausar el contrato afectado?
La monitorización se disparó a las 02:08 UTC, y el contrato afectado se pausó a las 03:53, 105 minutos después de la alerta. La red se detuvo posteriormente durante aproximadamente 25 horas.
-
¿Qué sigue siendo incierto sobre la recuperación de ICX?
Las cifras de ICX en manos de exchanges siguen sujetas a revisión porque no se disponía de las cantidades exactas mantenidas, convertidas o retiradas. ICON señaló que bnUSD y SODA fueron recuperados en su totalidad, mientras que la mayor parte de los ICX fueron rastreados, congelados y están en recuperación activa.
CoinDesk
CZ Binance
TheBlock
Crypto News
WuBlockchain