El neobanco de criptomonedas Infini fue explotado por 50 millones de dólares; se sospecha de un desarrollador deshonesto.

El neobanco de stablecoins Infini, con sede en Hong Kong, sufrió una vulnerabilidad que provocó la pérdida de aproximadamente 50 millones de dólares, y las investigaciones apuntan a un desarrollador deshonesto como responsable del incidente.

La vulnerabilidad fue detectada por primera vez por la empresa de seguridad blockchain CertiK el 24 de febrero a las 3:18 am UTC, que observó transferencias no autorizadas desde un contrato vinculado a Infini en Ethereum.

El atacante se concedió acceso especial a una cuenta y retiró 49,5 millones de USD Coin (USDC).

¿Qué pasó?

En su primer informe post mortem, Cyvers, otra empresa de seguridad centrada en blockchain, afirmó que el atacante probablemente era un desarrollador que había trabajado anteriormente en los contratos inteligentes de Infini y que había conservado privilegios administrativos ocultos incluso después de la finalización del proyecto.

Utilizando estos privilegios, el desarrollador primero financió una billetera con 1 ETH del servicio de mezcla de criptomonedas Tornado Cash para cubrir las comisiones de gas.

Con esta cartera, ejecutaron un contrato personalizado —creado en noviembre de 2024— para obtener acceso no autorizado al sistema de Infini.

Esto les permitió drenar 49,5 millones de USDC de la plataforma.

Posteriormente, el botín se cambió por DAI, una moneda estable que no puede ser congelada por los emisores, lo que permitió al atacante evitar cualquier intervención inmediata.

Después de esto, se utilizaron los DAI para comprar 17.696 ETH, que luego se transfirieron a una nueva billetera, según datos compartidos por el rastreador en cadena Lookonchain.

Según un tuit ya eliminado, el culpable fue identificado por el equipo de Infini y denunciado a la policía, aunque la empresa aún no ha publicado una declaración oficial.

¿Qué sigue para los usuarios de Infini?

Fundado en 2024, Infini es un neobanco, una institución financiera exclusivamente digital que presta servicios a los usuarios sin sucursales físicas.

Infini opera completamente en línea, ofreciendo servicios como pagos con stablecoins, cuentas generadoras de rendimiento y otras ofertas compatibles con criptomonedas.

La plataforma rápidamente ganó popularidad, con una tasa de crecimiento mensual del 500% en usuarios activos, según un comunicado de prensa del 14 de febrero.

Sin embargo, la reciente vulnerabilidad ha ensombrecido sus avances.

Inmediatamente después de que comenzaran a aparecer informes del incidente en las redes sociales, el fundador Christian Li dijo que la empresa compensaría a todos los usuarios afectados independientemente del resultado de los esfuerzos de recuperación de activos que se están llevando a cabo.

En una actualización posterior, Li explicó que el 70% de los fondos perdidos pertenecían a “grandes inversores”, a quienes ya se ha contactado personalmente y se les ha informado del incidente.

Prometió cubrir sus pérdidas con sus propios fondos mediante acuerdos privados.

En cuanto a los fondos robados restantes, Li aseguró a los usuarios que se repondrían completamente en la bóveda de Infini para el próximo lunes, garantizando que las operaciones continuarán con normalidad.

También confirmó que se había preparado suficiente liquidez para atender cualquier solicitud de retiro durante este período, instando a los usuarios a mantener la calma.

Li añadió que Infini se tomaría el tiempo necesario para actualizar y reiniciar sus servicios, priorizando la seguridad de los fondos antes de reanudar las operaciones completas.

Al momento de la publicación, los retiros en Infini seguían activos.

Li añadió además que se habían retirado más de 500.000 dólares de la plataforma desde el ataque.

Una mala semana para las criptomonedas.

El hackeo de Infini es solo el último de una serie de importantes brechas de seguridad que están sacudiendo el mundo de las criptomonedas.

Apenas unos días antes, el 21 de febrero, Bybit fue víctima de uno de los mayores hackeos a exchanges en la historia de las criptomonedas, perdiendo más de 1.400 millones de dólares.

Se cree que el ataque fue orquestado por Lazarus, un grupo de hackers respaldado por el estado norcoreano; los atacantes explotaron la lógica de los contratos inteligentes para drenar fondos de la billetera fría multifirma de la plataforma.