El exploit de BounceBit obligó al equipo del proyecto a detener su propia blockchain de primera capa y a renunciar a su restauración: se retiraron de la red 286 millones de tokens BB por un valor aproximado de $3,1 millones, y se planea migrar los activos de los usuarios al formato BEP-20 en BNB Chain.
Cómo ocurrió el ataque a BounceBit Chain
Según el equipo de BounceBit, el incidente se desarrolló de la siguiente manera:
- fecha y hora del ataque: noche del 19 al 20 de agosto;
- direcciones afectadas: nueve direcciones de BounceBit Chain;
- volumen retirado: 286 millones de BB;
- causa de la vulnerabilidad: error de autorización en el módulo de vesting y bloqueo de cuentas de la pila Evmos, sobre la que funcionaba la red.
Fue esta Vulnerability (computer security) la que permitió a los atacantes eludir las restricciones y acceder a tokens que no debían moverse libremente. Para el mercado de Cryptocurrency y Decentralized finance, estos fallos son especialmente sensibles: los usuarios esperan que la infraestructura básica de Blockchain soporte la carga incluso con lógica compleja de smart contracts y bloqueos.
¿Es posible hackear una criptomoneda?
Sí, si existen vulnerabilidades en los smart contracts, protocolos o infraestructura. Blockchain no elimina los errores humanos, la autorización débil ni las deficiencias en el código: a través de ellas, los atacantes pueden acceder a los tokens o eludir restricciones.
La mayoría de los ataques ocurren de varias maneras:
- los exploits aprovechan un error en el código o la lógica del protocolo;
- el phishing hace que el usuario revele el acceso a su billetera por sí mismo;
- los ataques a claves privadas otorgan a los atacantes control directo sobre los activos.
Parte de los BB robados ya han llegado a plataformas de intercambio. Alrededor de 254 millones de tokens fueron enviados a un gran exchange no revelado, y casi 10 millones de BB llegaron a otra plataforma. Los 18,5 millones de BB restantes siguen en una sola dirección. El equipo de BounceBit pidió a los exchanges congelar las direcciones relacionadas con el ataque.
Por qué se decidió no reiniciar la red
Los desarrolladores decidieron no restaurar BounceBit Chain. Explicaron que la red dependía de la infraestructura de Evmos, que ya no funciona como antes. Migrar el fork a una nueva base de código requeriría reconstruir la plataforma desde cero, realizar una auditoría y una nueva validación antes de que la cadena pudiera transferir activos de forma segura.
En lugar de reiniciar, el equipo optó por la Chain migration: los tokens BB serán reemitidos como BEP-20 en BNB Chain. Este enfoque debería eliminar los activos robados de la circulación y proporcionar a los usuarios nuevos tokens sin acciones adicionales de su parte.
La migración de BB se realizará en varios pasos:
- primero se toma una instantánea de la red antes del ataque;
- el punto de control es el bloque 20 697 260;
- los 286,5 millones de BB robados se excluyen de la nueva emisión;
- los nuevos tokens se distribuirán automáticamente a las direcciones de los usuarios en BNB Chain.
Detectamos un problema que afectó a BounceBit Chain y, por precaución, detuvimos los nodos mientras preparamos una solución. Las transacciones de BB están temporalmente no disponibles. La situación está limitada a la propia red: la aplicación CeDeFi, los smart contracts y los almacenes no se vieron afectados.
Tras el incidente, el equipo se centró en varias medidas prácticas: detuvo los nodos, preparó una solución, solicitó a los exchanges congelar las direcciones relacionadas y eligió la migración de BB excluyendo los tokens robados de la nueva emisión.
Qué se sabe sobre el proyecto y el contexto del hackeo
BounceBit se dedica al restaking de bitcoins. En 2024, el proyecto atrajo $6 millones de Blockchain Capital y Breyer Capital, y a finales de abril del mismo año recibió inversiones de YZi Labs.
El incidente también demuestra la importancia de los mecanismos básicos de verificación de derechos de acceso, la Public-key cryptography y el correcto funcionamiento de cualquier Communication protocol dentro de los sistemas criptográficos. Incluso si el problema no afecta directamente a los almacenes, un fallo en el módulo de autorización puede llevar a grandes pérdidas y a la migración forzada de activos.
En un ecosistema donde se desarrollan RWA, productos Exchange-traded fund, servicios de exchange como Binance e infraestructura de tokenización, estos ataques son un recordatorio: la seguridad a nivel de red sigue siendo una condición clave para la confianza. Los usuarios de BounceBit no necesitan comprobar identificadores de servicio como 17190 ni solicitar manualmente los nuevos BB: el equipo promete realizar la distribución automáticamente.
En la última semana, este no es el único gran hackeo en la industria cripto. Maya Protocol perdió activos por $1,7 millones, principalmente en bitcoins. Anteriormente, el cripto servicio Coinsbuy fue atacado y se retiraron $7,9 millones.
