BounceBit cerrará de forma permanente su blockchain de capa 1 después de que una falla de autorización permitiera a un atacante mover aproximadamente 3 millones de dólares en tokens BB desde nueve cuentas de la mainnet sin la aprobación de sus propietarios.

El atacante ejecutó 14 transacciones no autorizadas entre las 21:02 UTC del 19 de agosto y las 01:54 UTC del 20 de agosto, transfiriendo 286,543,148 BB antes de que la red fuera detenida. La producción de bloques terminó en la altura 20,702,857 a las 02:36:37 UTC del 20 de agosto.

Según el equipo, no se expusieron claves privadas ni se falsificaron firmas. Las billeteras de los usuarios, los dispositivos de hardware y las cuentas de exchanges no fueron comprometidas. Los productos CeDeFi Strategy, Promo Vaults, Prime y de activos del mundo real de BounceBit operan por separado de la infraestructura de capa 1 afectada y no resultaron afectados.

BounceBit lanzó esa mainnet en 2024 como una red de Bitcoin "CeDeFi" que combinaba rendimientos de finanzas centralizadas con productos on-chain. Su token BB debutó ese mayo a través del programa Launchpool de Binance, y entre sus primeros inversores se encontraban Binance Labs y Blockchain Capital.

Con la producción de bloques detenida, ninguna transacción puede liquidarse en BounceBit Chain, lo que convierte la reemisión basada en la instantánea en la única vía para que los saldos de los titulares continúen vigentes.

Falla de autorización heredada de Evmos

El exploit se centró en una falla de autorización en un módulo nativo heredado de la estructura tecnológica de Evmos que utiliza BounceBit Chain. La falla permitía que un llamador de contrato inteligente designara otra cuenta como fuente de fondos sin que el módulo verificara adecuadamente que dicha cuenta hubiera autorizado la transacción.

Esto convierte la brecha en una falla de autorización a nivel de protocolo en BounceBit Chain, y no en un compromiso de billetera ni un ataque de robo de claves.

El equipo inicialmente avanzó hacia la reparación de la red, con un aviso del 20 de agosto que describía una actualización de cadena planificada. El plan de recuperación fue posteriormente abandonado en favor del retiro permanente de la capa 1. Evmos —una red basada en Cosmos SDK creada para ejecutar contratos inteligentes compatibles con Ethereum— dejó de operar en mayo después de que su gobernanza aprobara un cierre, lo que dificultó considerablemente el mantenimiento continuo de la estructura subyacente.

BounceBit está tomando una ruta de recuperación distinta a la de las redes que aplican parches y se reinician tras un exploit. THORChain, por ejemplo, completó un reinicio escalonado de la red después del exploit de 10.7 millones de dólares en su bóveda en mayo.

BB será reemitido a partir de una instantánea previa al exploit

En cambio, BB se convertirá en un token BEP-20 en BNB Chain, el estándar de esa red para tokens fungibles y el equivalente del ERC-20 de Ethereum. Los nuevos saldos se basarán en una instantánea tomada en el bloque 20,697,260 a las 21:02:35 UTC del 19 de agosto, inmediatamente antes de la primera transacción no autorizada.

Los 286,543,148 BB del atacante quedarán excluidos de la emisión de reemplazo. Los saldos legítimos serán restaurados automáticamente en las direcciones correspondientes de BNB Chain, incluido el BB mantenido en posiciones de staking y de desbloqueo. Los titulares no necesitan migrar billeteras, presentar una solicitud ni reclamar manualmente los tokens de reemplazo.

BounceBit también está coordinando con exchanges centralizados los saldos de los clientes y los controles de depósitos. Actualmente no existe ningún sitio web oficial de reclamo de migración ni formulario de reclamo, y se ha advertido a los titulares que eviten enlaces que soliciten verificación de billetera o migración de tokens.

La reubicación coloca a BB directamente en una red que ya se ha convertido en el principal escenario de gran parte de la actividad de BounceBit. BNB Chain también ha registrado varios eventos de seguridad a nivel de tokens no relacionados este año, incluido el reciente drenaje de tokens de B², aunque el exploit de BounceBit ocurrió en su propia capa 1 basada en Evmos y no en BNB Chain.

BB cotiza cerca de $0.01 tras el exploit

BB cotizaba cerca de $0.0103 el sábado, con aproximadamente 89.7 millones de dólares en volumen de 24 horas y una capitalización de mercado cercana a los 12.8 millones de dólares, según CoinMarketCap. El token cayó a un mínimo histórico de $0.00804 el 20 de agosto, mientras se desarrollaban el exploit y la interrupción de la red. Los niveles actuales son una fracción de lo que cotizaba BB en los meses posteriores a su listado a mediados de 2024.

BounceBit anunciará la nueva dirección del contrato BEP-20 a través de sus canales oficiales una vez completado el despliegue. Los hitos pendientes incluyen la restauración automática de los saldos y la forma en que los exchanges centralizados manejen los depósitos del token reemitido bajo los controles coordinados. Hasta entonces, los titulares actuales no tienen ninguna transacción de migración ni proceso de reclamo por completar.