Vulnerabilidad de reentrada no reparada, FutureSwap sufre ataques consecutivos y pierde 74,000 dólares

El protocolo FutureSwap, desplegado en Arbitrum, sufrió dos ataques de hackers en apenas cuatro días. Según el análisis de la agencia de seguridad blockchain BlockSec, tras ser atacado por primera vez el 10 de enero, el protocolo volvió a ser objetivo el 11 de enero, con una pérdida aproximada de 7.4 millones de dólares. Lo que resulta aún más preocupante es que ambos ataques aprovecharon la misma vulnerabilidad de reentrada, lo que indica que las medidas correctivas tras el primer ataque quizás no resolvieron completamente el problema raíz.

Análisis de las técnicas de ataque

Principio de la vulnerabilidad

La vulnerabilidad de reentrada es uno de los riesgos de seguridad más comunes y peligrosos en los protocolos DeFi. En el caso de FutureSwap, la vulnerabilidad se encontró en la función de reentrada 0x5308fcb1. Los atacantes aprovecharon este punto de entrada, explotando una deficiencia lógica en la interacción del protocolo.

Pasos específicos del ataque

• Activar una llamada excepcional mediante la función de reentrada 0x5308fcb1
• Repetir la llamada a la función durante la ejecución del contrato, saltándose la verificación de saldo
• Crear una sobreemisión de tokens LP (tokens de proveedor de liquidez)
• Esperar a que finalice el período de enfriamiento para canjear los activos sobrecolateralizados
• Obtener beneficios mediante la extracción de ganancias

La clave de este método de ataque radica en la diferencia de tiempo: el atacante acumula posiciones falsas de LP durante el período de enfriamiento y, tras la descongelación del sistema, canjea legalmente los activos. A simple vista, parece una transacción normal, pero en realidad la cantidad de activos obtenidos supera con creces lo que debería.

Evaluación del impacto del evento

Amenaza para FutureSwap

Los ataques consecutivos indican que las reparaciones de seguridad del protocolo podrían tener fallos. Tras el primer ataque, normalmente el equipo realiza auditorías urgentes y actualizaciones de parches, pero la segunda vez el atacante logró seguir explotando la vulnerabilidad, lo que sugiere que:

• La primera reparación quizás no fue completa
• Podría existir otra vulnerabilidad del mismo tipo
• El mecanismo de período de enfriamiento puede necesitar un rediseño

Riesgo para los fondos de los usuarios

Aunque la pérdida fue “solo” 7.4 millones de dólares, para un protocolo cuya seguridad está en duda, esto representa un golpe severo a la confianza de los usuarios. Los fondos ya en el protocolo enfrentan no solo el riesgo de pérdida directa, sino también dificultades de liquidez.

Lecciones para la industria

Desde una perspectiva personal, este incidente revela varios problemas reales en el ecosistema DeFi:

Primero, la lentitud en las auditorías de seguridad. Muchos protocolos realizan auditorías antes de lanzar, pero los hackers suelen encontrar ángulos que se les pasaron por alto. La vulnerabilidad de reentrada, aunque no es un concepto nuevo, sigue siendo una “herramienta común” para los atacantes.

Segundo, la presión por la rapidez en las reparaciones. Tras detectar una vulnerabilidad, los proyectos deben completar la reparación, auditoría y despliegue en un tiempo muy corto, lo que aumenta el riesgo de errores.

Tercero, la responsabilidad del usuario en la diligencia debida. Incluso los protocolos auditados pueden tener riesgos, por lo que los usuarios deben ser responsables de sus propios fondos.

Resumen

Los ataques consecutivos a FutureSwap nos recuerdan que la vulnerabilidad de reentrada sigue siendo una amenaza importante para los protocolos DeFi. Esto no solo es un problema del protocolo en cuestión, sino una advertencia para todo el ecosistema. Para los usuarios, es necesario reevaluar la seguridad del protocolo y considerar si continuar usándolo; para toda la industria, se requieren estándares de seguridad más estrictos y mecanismos de respuesta rápida ante emergencias. Actualmente, se debe seguir de cerca si el protocolo implementará una actualización de seguridad más exhaustiva y si hay otros usuarios afectados que requieran compensación.