El puente cross-chain de Ankr en Ethereum perdió aproximadamente $304,500 el 9 de noviembre, después de que un atacante envió cinco solicitudes de retiro fraudulentas basadas en un depósito que ya se había completado en Optimism.

La firma de seguridad blockchain Blockaid identificó primero el ataque y estimó las pérdidas iniciales en $292,000. Posteriormente, SlowMist elevó la estimación a alrededor de $304,500, atribuyendo el robo a recibos cross-chain falsificados que pasaron las verificaciones de autorización del puente a pesar de contener detalles de transacción manipulados.

El atacante reutilizó un depósito legítimo del 3 de noviembre de aproximadamente 0.0044 ankrETH en Optimism. Aunque esa transferencia ya había sido redimida en Ethereum, su referencia de transacción se volvió a usar para autorizar cinco retiros adicionales que involucraban distintos activos, destinatarios y montos. Los cinco retiros se ejecutaron en un lapso aproximado de tres minutos, transfiriendo el inventario disponible de varios tokens del puente hacia una wallet controlada por el atacante. Este patrón de reutilización apunta a una exposición estructural en el diseño del puente: cuando los retiros se aprueban únicamente con base en un recibo, una sola referencia de depósito liquidado puede respaldar múltiples reclamaciones, a menos que las verificaciones del lado de destino confirmen cada solicitud contra los registros de la cadena de origen.

Cinco retiros falsificados drenan las reservas del puente

Los registros on-chain muestran que el atacante extrajo aproximadamente 82.91 ankrETH, 515,206 ankrPOL y 7.98 millones de tokens ANKR. Dos retiros adicionales eliminaron alrededor de 5,372 tokens de staking vinculados a Polygon y 0.82 aETHb.

PeckShield rastreó los activos robados, estimando la pérdida inicial en cerca de $286,000 y reportando que la mayor parte de las ganancias fue convertida en aproximadamente 103 ETH, con un valor aproximado de $217,000 en ese momento. Las diferencias en las estimaciones de pérdida reflejan variaciones en las valuaciones de los tokens y el momento en que cada firma realizó su evaluación.

SlowMist identificó la vulnerabilidad central en el proceso de autorización de retiros del puente. Aunque los cinco recibos hacían referencia a la misma transacción original en Optimism, cada uno contenía detalles de transferencia alterados y contaba con una firma válida del firmante de consenso de confianza del puente. Esas firmas permitieron que la función withdraw() del puente liberara activos sin verificar de forma independiente que los retiros reclamados coincidieran con depósitos genuinos en la cadena de origen.

La arquitectura del puente de Ankr depende de un proceso de notarización en el que las transacciones de depósito reciben autorización antes de que los activos correspondientes puedan liberarse en otra red. Esa dependencia de una capa de firma de confianza es común en la infraestructura cross-chain, y es la razón por la cual el rigor de la verificación del lado de destino —y no el tamaño de los depósitos individuales— determina cuánto valor está expuesto ante un solo retiro aprobado.

Cómo obtuvo el atacante las firmas válidas sigue sin resolverse. SlowMist no ha confirmado si las credenciales de firma fueron comprometidas o si la infraestructura de autorización fue manipulada.

Transferencias previas desde wallets de operadores generan preguntas

Blockaid también señaló movimientos de fondos sospechosos que involucraban wallets asociadas con las operaciones de Ankr en Ethereum, Arbitrum y Linea. Varias horas antes de los retiros del puente, los fondos de esas wallets se consolidaron en una dirección aparte y posteriormente se usaron para financiar la cuenta que ejecutó el exploit.

La conexión entre estas transferencias y las firmas no autorizadas sigue sin confirmarse, y los investigadores no han establecido si la actividad involucró credenciales operativas comprometidas u otro método de ataque.

Incidentes previos y estado del puente

El exploit sigue a un incidente separado en el contrato de liquid staking de Ankr en agosto, cuando una vulnerabilidad en ankrFLOW permitió la creación de tokens sin respaldo y pérdidas de aproximadamente $410,000 en MORE Markets. Un fallo similar de autorización cross-chain también afectó al puente zkLink Nova a finales de octubre, resultando en aproximadamente $786,000 en retiros no autorizados.

El puente de Ankr en Ethereum inicialmente permaneció sin pausar después del ataque del 9 de noviembre, aunque registros on-chain posteriores indican que los retiros fueron suspendidos alrededor de las 09:51 UTC esa mañana. Ankr no había emitido un comunicado público sobre el incidente ni anunciado un plan de recuperación al momento del reporte. El origen de las firmas aceptadas, la pérdida financiera final y cualquier posible reembolso para los usuarios afectados permanecen sin confirmar. Con los retiros suspendidos y sin una explicación oficial sobre las firmas aceptadas, los indicadores a seguir en el corto plazo son el comunicado del incidente por parte de Ankr y cualquier plan de recuperación o reembolso, cuánto tiempo se mantiene la suspensión de retiros, y las cifras actualizadas de rastreo o pérdidas de las firmas de seguridad que siguen los aproximadamente 103 ETH en ganancias convertidas.

Fuente: Crypto Adventure