Unleash Protocol sufre una extracción de 3,9 millones de ETH a través de Tornado Cash

• El explotador abusó de la gobernanza multisig para retirar activos USDC, WETH, stIP y vIP.

• Se realizaron 34 transferencias de ETH a Tornado Cash, incluyendo lotes estructurados de 100 ETH.

• El protocolo pausó las operaciones, investigando la actividad multisig y mejorando las medidas de seguridad.

Una brecha de seguridad afectó a Unleash Protocol en Story Protocol, resultando en una pérdida de aproximadamente $3.9 millones en fondos de usuarios. Según PeckShieldAlert, un actor no autorizado explotó el control administrativo en la gobernanza multisig del protocolo.

En consecuencia, el explotador actualizó los contratos inteligentes, permitiendo retiros de activos fuera de los procedimientos oficiales. Los fondos robados, incluyendo USDC, WETH, stIP y vIP, fueron luego transferidos a Ethereum y dirigidos a Tornado Cash, un servicio de mezcla de criptomonedas. Esta transferencia sistemática indica un intento intencional de ocultar la trazabilidad de la transacción.

Los datos de PeckShieldAlert destacan un patrón concentrado de transacciones en Ethereum. La billetera comprometida realizó 34 transferencias salientes en un período de 11 a 12 horas, enviando todos los fondos directamente a los contratos de depósito de Tornado Cash. Los tamaños de las transacciones siguieron denominaciones estructuradas, con múltiples depósitos de 1 ETH, varias transferencias de 10 ETH y un grupo significativo de depósitos de 100 ETH.

En segundo lugar, hay una transacción adicional de 0.1 ETH que se observó en este período de análisis. Agrupar transacciones para afectar a múltiples direcciones demuestra que las transacciones no fueron aleatorias, sino que fueron obra de individuos que planearon el lavado de sus transacciones. Las tarifas de red no cambiaron, manteniéndose constantes en torno a 0.0028-0.0030 ETH. Todas estas transacciones fueron enviadas desde una sola billetera.

Investigación y Respuesta del Protocolo

Unleash Protocol confirmó el incidente en un comunicado, enfatizando que la infraestructura central de Story Protocol permaneció intacta. Explicaron: “El incidente se originó dentro del marco de gobernanza y permisos de Unleash Protocol. No hay evidencia de compromiso en los contratos de Story Protocol, validadores o infraestructura subyacente.”

El protocolo pausó inmediatamente las operaciones para prevenir pérdidas adicionales. Además, están colaborando con expertos en seguridad para investigar la actividad de los firmantes multisig, las prácticas de gestión de claves y los procedimientos de gobernanza.

Además, Unleash Protocol insta a los usuarios a evitar interactuar con sus contratos hasta nuevo aviso. Continúan preservando los datos en la cadena y coordinándose con socios del ecosistema. Según su declaración, el equipo prioriza la comunicación transparente y medidas de remediación cuidadosas.