Un atacante drenó más de $100,000 de las reservas de GoodDollar mediante un error en el protocolo Superfluid, lo que afectó los fondos del proyecto en la blockchain Celo. GoodDollar opera un programa de ingreso básico universal que distribuye diariamente una pequeña cantidad de su token G$ a casi un millón de personas. La reserva afectada respalda ese token.

Según el reporte de CryptoSlate, que citó una actualización de GoodDollar del 9 de septiembre, el drenaje reportado de las reservas se dividió entre Celo y la red XDC. Las cifras no han sido confirmadas de forma independiente en la cadena, y GoodDollar dijo que ninguna de las dos reservas quedó completamente vacía.

Salidas reportadas de las reservas

Según el reporte, un atacante intercambió 86,588 cUSD de la reserva de GoodDollar en Celo. Una segunda salida, de $20,857, provino de la reserva del proyecto en la red XDC. La información disponible no explica cómo se relacionó la salida de XDC con la vulnerabilidad vinculada a Celo.

En conjunto, los montos reportados superan los $100,000. Representan salidas reportadas, no una pérdida neta final confirmada.

Los miembros de GoodDollar reclaman diariamente una pequeña cantidad de G$. El proyecto mantiene reservas para respaldar el token, y esas reservas fueron la fuente de los fondos afectados en el incidente.

El error de Superfluid afectó la implementación en Celo

El incidente se vinculó con Superfluid, un protocolo que permite “flujos de dinero”, es decir, pagos que se realizan de manera continua a lo largo del tiempo. GoodDollar utiliza Superfluid para distribuir su ingreso diario.

En una divulgación preliminar publicada el 8 de septiembre, el Consejo de Seguridad de Superfluid dijo que una “Super App” maliciosa —un programa automatizado conectado a Superfluid— eludió el proceso normal de liquidación de flujos en Celo.

Como resultado, los saldos de G$ que debían liquidarse permanecieron disponibles. El atacante luego intercambió esos saldos por activos de reserva de GoodDollar y otros fondos de liquidez en Celo, indicó el consejo.

El Consejo de Seguridad dijo que la vulnerabilidad dependía de la configuración específica de Superfluid en Celo. Otras redes que ejecutan Superfluid no se vieron afectadas por este error en particular. GoodDollar también atribuyó el incidente en Celo al error de Superfluid.

GoodDollar escribió en X:

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

La publicación está disponible en la cuenta de GoodDollar en X.

Cronología de la respuesta

El Consejo de Seguridad dijo que una alerta de infraestructura identificó inicialmente cuentas insolventes de Celo el 3 de septiembre a las 7:11 p. m. UTC.

Superfluid implementó una solución inmediata en Celo y restableció la lista blanca de Super Apps el 4 de septiembre a las 2 p. m. UTC. Todas las cuentas insolventes se cerraron una hora después, a las 3 p. m. UTC.

El consejo también revisó los procesos de registro de Super Apps en todas las redes para invalidar implementadores incluidos en la lista blanca que estuvieran inactivos o sin uso, según el miembro del consejo hellwolf. La revisión más amplia no indica que otras redes hayan estado expuestas a la vulnerabilidad específica de Celo.

El consejo dijo que la ruta del exploit ya no podía reproducirse después de la corrección.

Recuperación e incertidumbres pendientes

Las salidas reportadas no establecen el impacto financiero final del incidente. GoodDollar no ha revelado cuánto, si acaso algo, podría recuperarse después de las medidas de corrección. Los fondos de liquidez externos de G$ también se vieron afectados, pero no se han divulgado las pérdidas de esos fondos.

GoodDollar dijo que los reclamos en Celo, las transferencias de G$ y la verificación de identidad se habían reanudado, según CryptoSlate. Sin embargo, las operaciones de reserva tanto en Celo como en XDC, además de los puentes, seguían suspendidas al 10 de septiembre.

El proyecto también aconsejó a los usuarios no intercambiar G$ por el momento. Indicó que la liquidez limitada podría provocar un deslizamiento considerable y precios anormales, haciendo que las operaciones se ejecuten a tasas inesperadamente desfavorables.

Varios aspectos del incidente siguen sin resolverse. No se ha explicado la conexión entre el error de Superfluid específico de Celo y la salida de XDC. La divulgación de Superfluid del 8 de septiembre era preliminar, y el consejo dijo que se publicaría un informe técnico completo. Por lo tanto, la magnitud de la exposición de las reservas, los efectos sobre los usuarios y el monto final recuperado siguen sin verificarse.

Los hechos reportados describen el estado actual del incidente, pero no establecen una pérdida neta final ni el resultado del proceso de recuperación. La advertencia de GoodDollar sigue siendo relevante para los usuarios que mantienen G$ mientras las operaciones de reserva y las condiciones de liquidez continúan alteradas.

Este artículo tiene fines informativos y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos.