Swell, el protocolo de staking líquido de Ethereum, ha pausado los depósitos y retiros de sus tokens swETH y rswETH después de que los contratos comenzaran a reportar tipos de cambio muy por encima de los niveles normales. La pausa fue anunciada el viernes 23 de octubre en la madrugada, y ambas funciones permanecen cerradas mientras el equipo trabaja en corregir los tipos.

El staking líquido permite a los usuarios hacer staking de ETH mientras conservan un token intercambiable a cambio, y swETH y rswETH son respectivamente los tokens de staking líquido y de restaking líquido de Swell. Cada uno lleva un tipo de cambio que aumenta a medida que se acumulan las recompensas de staking, y ese tipo determina cuánto ETH entra o sale de los contratos cuando los usuarios depositan o retiran.

El tipo reportado por el contrato de swETH subió a aproximadamente un 6% por encima de su última lectura correcta, mientras que rswETH se situó alrededor de un 5% por encima de lo normal. Swell dijo que no ha salido ETH de los contratos afectados, pero no ha confirmado una causa ni ha indicado cuándo se reanudarán los depósitos y retiros.

Los tipos de cambio suben por encima de los niveles normales

Swell anunció la pausa a las 2:39 a. m. ET del viernes y dijo que su siguiente paso es devolver el valor patrimonial neto (NAV) de ambos tokens al nivel correcto. Los depósitos y retiros permanecerán cerrados hasta entonces. Los tipos de tokens de este tipo normalmente suben solo lentamente a medida que se acumulan las recompensas de staking, razón por la cual las lecturas varios puntos porcentuales por encima de sus últimos valores correctos llamaron la atención.

A las 4:48 p. m. ET, una lectura de los contratos realizada por Unchained mostró swETH en alrededor de 1.203 ETH y rswETH cerca de 1.138 ETH. El analista on-chain Spreek había identificado los últimos tipos correctos como 1.133 ETH y 1.082 ETH, respectivamente.

En los exchanges descentralizados, swETH se negociaba cerca de 1.089 WETH en un pool de Uniswap con alrededor de 143.000 dólares en liquidez, mientras que rswETH cambiaba de manos cerca de 1.029 WETH en Curve. Ambos precios de mercado se sitúan por debajo de los tipos que reportan los contratos.

Según DefiLlama, swETH retiene alrededor de 29 millones de dólares en valor total, y el token rswETH retiene aproximadamente la misma cantidad. Dado que ambos tokens también se negocian y circulan en mercados externos, la exposición se extiende más allá de los propios contratos del protocolo. Swell no ha ofrecido hasta ahora orientación sobre la negociación ni sobre la provisión de liquidez de ninguno de los dos activos.

Se sospecha del compromiso de claves de administrador, causa sin confirmar

Spreek publicó el miércoles 21 de octubre que las claves de administrador de ambos tokens parecían haber sido comprometidas. Las claves de administrador gobiernan quién puede actualizar los contratos inteligentes de un protocolo, mientras que una multisig requiere la aprobación de varios firmantes autorizados antes de que cualquier transacción se ejecute. Escribió que el NAV aumentaba "max 1% (unbacked) each hour" en ese momento. También identificó cuatro contratos de actualización maliciosos capaces de tomar alrededor de 2.500 ETH, aunque ninguno había sido encolado a través de la multisig de Swell.

Odysseus, fundador de Phylax Systems, describió el incidente como "BOT-key abuse" y añadió que los 2.513 ETH retenidos "is NOT confirmed loss". Sus comentarios llegaron poco después de la advertencia inicial de Spreek.

Swell respondió a las 11:03 p. m. ET que estaba trabajando con socios de seguridad. El equipo declaró que "no ETH has left" los contratos de retiro o depósito de swETH o rswETH, y luego escribió, "All funds are safe". También advirtió que eventos de este tipo suelen traer más intentos de phishing.

Posible conexión con Railway

Ambos investigadores plantearon un posible vínculo con Railway, una plataforma de despliegue en la nube que los desarrolladores utilizan para construir y alojar aplicaciones. Railway dijo en una revelación del 21 de octubre que un "tercero no autorizado" pudo haber leído algunas de sus variables de entorno cifradas, un lugar común para que las plataformas almacenen credenciales sensibles como claves de API. La revelación no menciona a Swell, y Swell no ha confirmado ninguna conexión entre ambos eventos.

El informe de Spreek, que según dijo fue escrito por IA y no verificado por completo, encontró que Aave, Spark y Fluid no aceptaban ninguno de los dos tokens. Un mercado de Morpho tenía alrededor de 34 ETH disponibles para préstamo.

Hasta las últimas actualizaciones, las funciones de depósito y retiro permanecen pausadas, y Swell no ha proporcionado un cronograma para restaurar las operaciones normales. Las preguntas abiertas son las que se han planteado desde la primera advertencia de Spreek: si se confirma el sospechado compromiso de las claves de administrador, si los cuatro contratos de actualización señalados llegan alguna vez a la multisig de Swell, y si los tipos reportados pueden corregirse a sus últimas lecturas correctas, 1.133 ETH para swETH y 1.082 ETH para rswETH, antes de que se reabran los retiros.