El investigador de seguridad Spreek reportó el 22 de octubre que un actor que tenía las claves operativas (hot keys) de Swell DAO había elevado las tasas de cambio de sus tokens de staking líquido swETH y rswETH en el límite horario de 1%, sin nuevo ETH que respaldara los aumentos.

Las tasas de cambio de los tokens de staking líquido normalmente suben solo a medida que se acumulan las recompensas de staking, por lo que un aumento sin nuevo ETH detrás empuja la tasa reportada por encima de lo que respaldan las tenencias del protocolo. Los hallazgos se conocieron horas después de que la plataforma en la nube Railway revelara que un intruso pudo haber accedido a secretos almacenados por clientes.

Se registraron cinco subidas de tasas de aproximadamente 1% en ambos tokens

Spreek compartió los hallazgos en X a las 01:28 UTC, escribiendo que las claves de administrador de ambos tokens "appear to be compromised (railway related?)". Según la publicación, los atacantes estaban "raising NAV by max 1% (unbacked) each hour."

El fundador de Phylax Systems, Odysseus, describió la actividad como "BOT-key abuse", contabilizando tres subidas de tasa de swETH y dos de rswETH de aproximadamente 1% cada una. El código del oráculo publicado por Swell restringe el envío de instantáneas de reprecios exclusivamente al rol BOT. Ese bot opera con claves en línea (hot keys), que permanecen conectadas y firman transacciones sin intervención humana — un esquema que pone la precisión de la tasa en cadena en manos de un único conjunto de credenciales siempre en línea. Los límites de tasa de este tipo restringen cuánto puede mover un oráculo el precio en una actualización; en este caso definieron el ritmo de los aumentos no autorizados.

Los registros de Ethereum muestran que una sola dirección envió instantáneas de swETH a las 23:02 UTC del 21 de octubre, seguidas de envíos adicionales a las 00:04 y 01:08 UTC del 22 de octubre. Las cifras reportadas al 22 de octubre sitúan a swETH alrededor de 3.0% por encima de 1.133254 ETH, mientras que rswETH estaba cerca de 2.0% por encima de 1.082464 ETH.

Railway [dijo el 21 de octubre]( que había observado actividad anómala en sistemas que almacenan variables de entorno de clientes —un lugar estándar para que las aplicaciones guarden credenciales de ejecución— y que un tercero pudo haber accedido a contenidos descifrados de algunos de ellos. Los secretos almacenados incluyen claves de API y credenciales de registro. La plataforma congeló todos los despliegues e instó a los usuarios a rotar los secretos almacenados.

El mismo día, la investigadora de criptomonedas Tay dijo que un atacante había drenado alrededor de $371,000 de billeteras en al menos 19 cadenas EVM usando claves almacenadas en Railway. No se ha confirmado ninguna conexión entre la violación de Railway y el incidente de Swell.

Cuatro contratos de actualización maliciosos podrían tomar alrededor de 2,500 ETH

Swell dijo en X a las 03:03 UTC del 22 de octubre que estaba al tanto de reportes de "suspicious activity on the swETH and rswETH contracts" y que investigaba junto a sus socios de seguridad. "No ETH has left the swETH or rswETH withdrawal or deposit contracts", escribió el equipo, añadiendo que los usuarios no debían tomar ninguna acción.

El 23 de octubre, Swell pausó los depósitos y retiros de swETH y rswETH, indicando que las funciones se reactivarían una vez que el NAV regrese al valor correcto. La tasa de cambio determina cuánto ETH se convierte cada token en depósitos y retiros, por lo que la reapertura de esas funciones depende de la cifra corregida.

Spreek también reportó que se habían desplegado cuatro contratos de actualización maliciosos, capaces de tomar alrededor de 2,500 ETH si se ejecutaban. Odysseus estimó que Swell tenía 2,513 ETH, aunque señaló que el monto "is NOT confirmed loss". Ninguna de las actualizaciones se había ejecutado al momento de los reportes, dejando su estado, la corrección del NAV y cualquier vínculo confirmado con el incidente de Railway como los puntos clave a vigilar.

Algunos detalles de la investigación, según se reportó, fueron recopilados con asistencia de IA y permanecen sin verificar.

Las tasas infladas conllevan riesgo de contagio para los mercados de préstamos

Solo una fracción de las tasas elevadas se refleja, según se reportó, en los precios de los DEX. Los productos de staking líquido y restaking líquido de Swell tenían cada uno alrededor de $29 millones en valor total bloqueado al 23 de octubre, mientras que las fuentes de datos indican una capitalización de mercado para rswETH de entre $27 millones y $58 millones.

En un mercado de préstamos que fija el precio de swETH o rswETH según la tasa en cadena, la cifra inflada contaría como colateral. Cryptopolitan rastreó previamente una ruta de contagio similar cuando el exploit de rsETH de KelpDAO se propagó a los mercados de préstamos de Layer 2. Las claves filtradas también estuvieron detrás del incidente de la extensión Fearless Wallet, en el que las claves privadas de usuarios de Polkadot fueron enviadas al servidor de un atacante.