Los privilegios de propietario del contrato de WEMIX habrían sido comprometidos, lo que llevó a la emisión y transferencia ilegal de tokens por un valor de $6.25 millones. El incidente renovó el escrutinio sobre la seguridad de las claves de administrador en la infraestructura de gaming blockchain y otros sistemas de contratos inteligentes.

Detalles reportados del incidente de emisión de tokens de WEMIX

La brecha reportada involucró el compromiso de los privilegios de propietario del contrato. En un contrato inteligente, los privilegios de propietario son permisos elevados asignados a una dirección designada, que le permiten ejecutar acciones administrativas como emitir nuevos tokens, pausar transferencias o actualizar la lógica del contrato.

Cuando esos permisos quedan bajo control de un atacante, el atacante puede actuar efectivamente con la autoridad del propio proyecto. En este caso, el resultado fue la creación no autorizada de tokens y su posterior transferencia, según un informe publicado por la WEMIX Foundation.

WEMIX ya había enfrentado incidentes de seguridad anteriormente. Su Play Bridge fue explotado en un ataque separado que resultó en el robo de aproximadamente $6.1 millones, según BleepingComputer.

Los detalles operativos del más reciente compromiso de privilegios de propietario siguen sin confirmarse con base en la evidencia disponible. Aún no se ha establecido cómo se obtuvo el acceso, si se recuperaron fondos o qué medidas adicionales de remediación podrían haberse tomado. Los detalles más allá de la emisión y transferencia no autorizadas reportadas deben tratarse como no verificados salvo que sean confirmados por fuentes primarias.

Implicaciones para los holders de tokens y la seguridad de contratos inteligentes

Un compromiso de los privilegios de propietario del contrato apunta a una debilidad de control de acceso y de claves de administrador, más que a un problema relacionado con el mercado. En contratos de tokens donde una clave de propietario puede controlar funciones relacionadas con el suministro, la parte que controla esa clave puede estar en condiciones de emitir tokens o realizar otras acciones administrativas sensibles. Esto convierte a las claves privilegiadas en algunos de los objetivos de mayor valor en los sistemas Web3.

La emisión no autorizada es significativa para los holders porque los tokens recién creados pueden diluir el suministro existente y podrían transferirse antes de que un proyecto pueda responder. Incluso antes de que estén disponibles todos los detalles técnicos, la emisión ilegal puede generar dudas sobre la integridad de los controles de suministro de un token. Para los usuarios y contrapartes afectados, las actualizaciones más relevantes serían divulgaciones de fuentes primarias sobre los permisos comprometidos, cualquier rastreo de transacciones y si los controles del contrato o las claves administrativas fueron rotados o restringidos.

El incidente refleja una preocupación de seguridad más amplia en todo el sector cripto. El fundador de Binance, CZ, ha advertido previamente que pueden existir riesgos de seguridad ocultos dentro de operaciones cripto que externamente parecen sólidas, y la gestión de privilegios sigue siendo un riesgo operativo recurrente.

Los vectores de ataque dirigidos a personas también siguen siendo una ruta común para el compromiso de claves. Binance realiza pruebas internas de phishing de red team con consecuencias para fallas repetidas, mientras que investigadores han documentado cómo BlueNoroff ha usado reuniones falsas de Zoom y Teams para atacar a usuarios cripto y recopilar credenciales.

Para el sector en general, la lección de seguridad es que las funciones privilegiadas de contratos deben protegerse con controles como autorización multifirma, timelocks y monitoreo continuo, de modo que emisiones anómalas u otras acciones sensibles puedan detectarse y detenerse antes de que el valor salga del sistema.