ZetaChain dice que el informe de recompensas por errores desestimado precedió a un drenaje de ~$334K en la puerta de enlace entre cadenas
El análisis post-mortem vincula la explotación a tres fallos de diseño y envía parches para deshabilitar llamadas arbitrarias y eliminar aprobaciones ilimitadas.
ZetaChain dice que una vulnerabilidad detrás de un exploit de aproximadamente $334,000 en un gateway cross-chain había sido reportada a través de su programa de recompensas por errores antes del ataque, pero fue desestimada como "comportamiento intencionado". El informe post-mortem del equipo detalla un fallo de diseño en tres partes y describe los parches que ahora se están implementando en los nodos de mainnet.
Puntos Clave
- Una presentación de recompensas por errores señaló la vulnerabilidad antes del exploit, pero fue tratada como "comportamiento intencionado", dijo ZetaChain en su informe post-mortem.
- Aproximadamente $334,000 fueron drenados a través de nueve transacciones en Ethereum, Arbitrum, Base y BSC desde billeteras controladas por ZetaChain, sin afectar los fondos de los usuarios.
- ZetaChain atribuyó el drenaje a un camino encadenado a través de tres fallos de diseño: instrucciones arbitrarias cross-chain, ejecución permisiva protegida por una lista de bloqueo estrecha y aprobaciones de tokens ilimitadas que quedaron.
- La remediación incluye deshabilitar permanentemente la funcionalidad de llamadas arbitrarias y cambiar los depósitos de aprobaciones ilimitadas a aprobaciones de cantidad exacta.
Post-Mortem: Informe de Recompensas por Errores Precedió el Drenaje de ~$334K del Gateway
El informe post-mortem de ZetaChain coloca un detalle incómodo en el centro del incidente: la vulnerabilidad detrás del drenaje de aproximadamente $334,000 ya había sido presentada a través de su programa de recompensas por errores, pero fue desestimada como "comportamiento intencionado".
El equipo dijo que el episodio ha desencadenado una revisión de cómo maneja las presentaciones de recompensas por errores, con énfasis en informes donde múltiples pequeños problemas pueden encadenarse en un exploit completo.
El exploit en sí fue descrito como "premeditado", no un golpe aleatorio. ZetaChain dijo que la preparación del atacante comenzó días antes, incluyendo financiamiento a través de Tornado Cash, desplegando un contrato drenador diseñado específicamente en ZetaChain, y ejecutando una campaña de envenenamiento de dirección que fue sembrada en el historial de transacciones a través de transferencias de polvo.
La forma en que ZetaChain enmarca esto es importante para los traders porque apunta a un riesgo de diseño y proceso repetible, en lugar de un compromiso clave único.
Dónde se Movió el Dinero: Nueve Transacciones a Través de Cuatro Cadenas
ZetaChain dijo que el drenaje totalizó aproximadamente $334,000 y se desarrolló a través de nueve transacciones que abarcan Ethereum, Arbitrum, Base y BSC. Los fondos provinieron de billeteras controladas por ZetaChain, no de billeteras de usuarios, y el equipo dijo que no se vieron afectados los fondos de los usuarios.
Esa distinción reduce el impacto inmediato en el balance de los usuarios, pero no elimina el impacto en el mercado. Para los traders cross-chain, un contrato de gateway es una dependencia de enrutamiento. Incluso cuando los saldos de los usuarios no se ven tocados, la confianza aún puede ser revalorizada a través del uso, decisiones de integradores y cuán rápidamente la liquidez se desvía de un riesgo operativo percibido.
La Cadena de Tres Fallos: Instrucciones Arbitrarias, Ejecución Permisiva, Aprobaciones Ilimitadas
ZetaChain atribuyó el exploit a tres fallos de diseño que "individualmente, podrían haber parecido menores", pero que se combinaron en un camino de drenaje limpio.
Primero, el gateway permitía a cualquiera enviar instrucciones arbitrarias cross-chain sin restricciones. Segundo, el lado receptor ejecutaría "casi cualquier comando en cualquier contrato", y la lista de bloqueo era lo suficientemente estrecha como para perder funciones básicas de transferencia de tokens. Tercero, las billeteras que habían utilizado previamente el gateway dejaron permisos de gasto ilimitados que nunca fueron limpiados.
Juntas, el atacante podía instruir al gateway para transferir tokens de las billeteras de las víctimas a la billetera del atacante, y ZetaChain dijo que "el gateway cumplió". Para la fijación de riesgos, esa es la conclusión accionable: el modo de fallo fue la higiene de las asignaciones más la ejecución permisiva de mensajes, no un único componente frágil que pueda ser desestimado como un caso límite.
Implementación de Parches y Revisión de Triage de Recompensas por Errores
ZetaChain dijo que se está implementando un parche que deshabilita permanentemente la funcionalidad de llamadas arbitrarias en los nodos de mainnet. También eliminó las aprobaciones ilimitadas de tokens de su flujo de depósitos, reemplazándolas con aprobaciones de cantidad exacta de aquí en adelante.
Las señales inmediatas hacia adelante son operativas. Los traders querrán confirmación de que la desactivación de llamadas arbitrarias se ha propagado completamente a través de los nodos de mainnet, además de claridad sobre si se requieren correcciones rápidas adicionales. La otra pregunta en vivo es si las aprobaciones de cantidad exacta están activas en todas las cadenas soportadas y si los integradores enfrentan fricciones de compatibilidad.
El proceso pendiente es el pipeline de recompensas por errores en sí. ZetaChain dijo que el problema fue reportado anteriormente pero desestimado como comportamiento intencionado, y un usuario de X criticó el manejo, escribiendo: "Este error fue reportado y simplemente lo ignoraron", añadiendo: "Así es como funcionan actualmente los programas de recompensas por errores con estos protocolos.
Incentivan pérdidas para el protocolo, el TVL, y el saldo del usuario en lugar de pagar al investigador por descubrir y corregir el error". ZetaChain no ha especificado si el informe anterior coincidía con el camino completo del exploit o solo con un componente, dejando espacio para más divulgaciones sobre el tiempo, el alcance y los resultados de triage actualizados.
Lo que Esto Cambia para la Fijación de Riesgos Cross-Chain
Trato esto como un incidente de superficie de gateway, no como un evento de pérdida del tamaño de un titular. El umbral que importa es si el conjunto de parches realmente colapsa la superficie de ataque al eliminar llamadas arbitrarias y restringir aprobaciones, porque esos se mapean directamente a dos de los tres puntos de fallo que ZetaChain identificó.
La verdadera prueba es si ZetaChain puede convertir la admisión de recompensas por errores en una mejora de proceso que atrape vectores encadenados antes de que se conviertan en drenajes.
Si eso se sostiene, la configuración comienza a parecer estructural en lugar de impulsada por narrativas, y es importante en términos prácticos porque cambia cuán rápidamente los enrutadores de liquidez y los integradores están dispuestos a volver a confiar en el camino del gateway después de un exploit.
