La firma de seguridad CertiK informa que un ataque de oráculo financiado con flash loans distorsionó un reembolso de CoreVault y vació el InsurancePool del protocolo, convirtiendo una falla de entrada de precios en un evento inmediato de liquidez de reembolsos en BNB Smart Chain. Para los depositantes y proveedores de liquidez, la pregunta central no es únicamente cuánto extrajo el atacante, sino si la ruta de reembolso, sus salvaguardas de oráculo y el fondo de respaldo siguen siendo seguros mientras el protocolo establece los hechos.

Lo que informó CertiK

En una alerta publicada el 4 de noviembre de 2026, CertiK Alert indicó que un ataque de oráculo financiado con flash loans infló un reembolso de CoreVault unas 33 veces. Esa cifra es una atribución de una firma de seguridad, aún no una autopsia de CoreVault confirmada de forma independiente. Aun así, un resultado de reembolso de esa magnitud es consistente con un cálculo del protocolo que recibió un precio o dato de conversión económicamente distorsionado.

CertiK también declaró que la manipulación vació el InsurancePool y que el atacante retuvo 160.26 BNB —valorados por la firma en aproximadamente 112.2 mil dólares— tras revertir la operación. En exploits con flash loans, las posiciones se abren y cierran dentro de la ventana de ejecución de una sola transacción, por lo que las ganancias retenidas pueden diferir considerablemente de los fondos brutos que pasaron por el fondo afectado. De ser exacto, el agotamiento del InsurancePool importa mucho más allá del tamaño de la extracción: ya no se puede asumir que una reserva diseñada para absorber pérdidas o respaldar reembolsos amortiguará el próximo evento adverso de balance.

Secuencia reportada frente al registro confirmado

La alerta de CertiK vincula la presunta transacción del exploit, 0x072a10a579e2a8afa26a681205a2aaaa38f74bcb9d1064b12bd9e9ebe2c598b3, en BscScan. El rastreo del explorador no pudo leerse de forma independiente durante la investigación, por lo que la ruta completa del flash loan, las llamadas al oráculo involucradas, los contratos afectados, los flujos de saldo y la supuesta reversión de la operación siguen sin confirmarse según la evidencia disponible.

En un diseño de vault, un oráculo no necesita ser el único dato contable para producir un desajuste severo de reembolsos. Un dato comprometido o insuficientemente robusto puede distorsionar el valor del activo o el término de conversión de participaciones utilizado por la función de reembolso. Por ello, la inflación de reembolsos reportada es la señal de riesgo observable clave, mientras que la causa raíz exacta —dependencia del precio spot, datos obsoletos, supuestos de liquidez débiles u otra falla de integración— no ha sido establecida.

Cómo los flash loans amplifican el riesgo de manipulación de oráculos

Un flash loan es un préstamo con alcance de transacción: la liquidez se pide, se usa y se devuelve antes de que la transacción se complete, o toda la transición de estado se revierte. En la secuencia descrita por CertiK, ese capital temporal habría proporcionado el peso de balance necesario para mover o explotar una condición de mercado relevante para el oráculo, sin que el atacante necesitara prefinanciar la posición completa.

El financiamiento es distinto de la condición del oráculo

El préstamo en sí no es evidencia de un defecto del oráculo. La pregunta de seguridad es si la lógica de reembolsos de CoreVault confiaba en un precio, una cifra de profundidad de liquidez o un dato de conversión que podía influirse económicamente dentro de la misma ventana de ejecución atómica. La inflación de reembolsos reportada por CertiK es evidencia de un resultado anómalo, no una explicación revelada de la falla de control.

La distinción importa para los proveedores de liquidez: una pausa en el acceso a flash loans, aunque fuera técnicamente factible, no repararía por sí sola una dependencia de valoración insegura. El agotamiento reportado del InsurancePool, en cambio, concentra la atención en el orden de asignación de pérdidas del protocolo: los usuarios necesitan saber qué pasivos están por delante de la reserva restante y si alguna contabilidad de LP o de participaciones del vault ha sido recalculada.

Incidentes de manipulación de precios han generado preocupaciones similares en otras partes de DeFi, incluido un presunto ataque al mercado monetario de Nostra Finance. El informe sobre CoreVault es más limitado en alcance, pero su impacto declarado en los reembolsos destaca la misma línea de falla en el diseño de protocolos: la liquidez que parece disponible bajo una valoración manipulada puede ser retirada antes de que los arbitrajistas ordinarios puedan restaurar el precio.

Qué deben monitorear los usuarios de CoreVault

Ningún anuncio oficial de CoreVault, divulgación de direcciones de contratos, aviso de pausa, declaración de impacto a usuarios o plan de remediación estuvo disponible en el registro al momento de la publicación. Por ello, los usuarios deben tratar el estado actual de los reembolsos como desconocido hasta que comunicaciones verificadas del protocolo o una actualización atribuible del proveedor de seguridad indiquen lo contrario, en lugar de inferir seguridad de una transacción exitosa en la interfaz.

La lista práctica de monitoreo es concisa: disponibilidad de reembolsos, actualizaciones del oráculo o de parámetros de precios, cambios en los saldos del InsurancePool y una autopsia que identifique los contratos afectados y el plan de remediación. Dos puntos de seguimiento merecen igual peso: si el análisis independiente en cadena corrobora o revisa el relato a nivel de transacción de CertiK, y si el protocolo decide recapitalizar el InsurancePool o reestructurar cómo la reserva respalda los reembolsos. El agotamiento reportado hace que esos puntos sean más importantes que los comentarios secundarios del mercado, porque determinan si la liquidez restante puede honrar las salidas a un valor neto defendible.

Informes confirmados y preguntas sin resolver

El registro verificado se limita a la alerta de CertiK: la firma reportó el reembolso inflado, el agotamiento del InsurancePool y las ganancias posteriores a la reversión, mientras que la transacción subyacente no ha sido analizada de forma independiente. Afirmaciones de que CoreVault ha pausado operaciones, reembolsado a usuarios, actualizado contratos o cuantificado pérdidas serían prematuras, porque ningún comunicado del protocolo de ese tipo fue incluido en la evidencia.

Para un contexto de seguridad más amplio, el panel de CertiK, con última actualización registrada el 4 de noviembre de 2026, mostró 183.0 millones de dólares en pérdidas totales para su período de cifras clave de noviembre de 2026. Esa cifra del panel es contexto de la industria y no una atribución a CoreVault, pero subraya por qué los avisos de incidentes no verificados aún deben impulsar una revisión cuidadosa de la exposición al oráculo y de los controles de retiro.

Evaluación del riesgo del protocolo

El riesgo inmediato de contratos inteligentes se concentra en la frontera entre reembolsos y oráculo, y en la disponibilidad del InsurancePool tras el agotamiento reportado. La gobernanza ahora debe determinar si los parámetros, el diseño del oráculo, los permisos de emergencia o las reglas de asignación de reservas requieren cambios; no se identificó fecha para una próxima votación de gobernanza en la evidencia disponible. En todo DeFi, el endurecimiento en esta frontera suele adoptar la forma de precios promedio ponderados por tiempo, fuentes de oráculos múltiples, verificaciones de desviación que rechazan cotizaciones fuera de un rango definido o controles de retiro activados por detección de anomalías — la evidencia disponible no establece cuál, si alguna, de estas medidas emplea actualmente CoreVault.

Hasta que CoreVault publique hallazgos atribuibles a nivel de contrato, la liquidez sigue expuesta a riesgo de concentración donde una única ruta de reembolso, dependencia de precios o fondo de respaldo gobierne la capacidad de salida. Los depositantes y proveedores de liquidez deben priorizar el estado verificado de los reembolsos y cualquier remediación aprobada por gobernanza sobre supuestos especulativos de recuperación, especialmente si el protocolo confirma que el reembolso anómalo reportado afectó la contabilidad del colateral compartido.

Este artículo fue publicado originalmente en DefiLiban.