Protocolo TMX víctima de una explotación de $1.4M en Arbitrum, monitoreada por CertiK

Investigadores de seguridad en CertiK han detectado un ataque sofisticado en un contrato no verificado conectado a la exchange descentralizada TMX en la red Arbitrum. El incidente resultó en aproximadamente 1.4 millones de dólares en activos robados, marcando otra brecha significativa en el ecosistema de DEX cada vez más atacado.

El mecanismo del ataque detrás del robo de 1.4 millones de dólares

El hacker orquestó un ataque complejo y en múltiples pasos que aprovechó vulnerabilidades en la forma en que el contrato inteligente de TMX manejaba la provisión de liquidez y los intercambios de tokens. Al acuñar repetidamente tokens del pool de liquidez (LP) de TMX usando colateral en USDT, el atacante pudo explotar sistemáticamente los defectos de diseño del contrato.

El flujo de explotación siguió este patrón: el hacker acuñó tokens LP de TMX, los apostó para obtener recompensas, luego intercambió USDT por stablecoins USDG. Después de retirar la apuesta, vendió grandes cantidades de USDG, creando una presión a la baja artificial sobre el precio del token. Esta secuencia coordinada le permitió extraer grandes cantidades de USDT, Solana envuelto (SOL) y Ethereum envuelto (WETH) de las reservas del contrato.

Por qué tuvo éxito este ataque

La falta de auditoría del contrato de TMX parece haber sido una vulnerabilidad crítica. A diferencia de los protocolos verificados formalmente, los contratos inteligentes no auditados carecen de las revisiones de seguridad rigurosas necesarias para identificar casos límite y vectores de explotación. El atacante aprovechó la falla del contrato para validar correctamente el orden de las transacciones y para implementar controles adecuados en operaciones de múltiples pasos, un vector común en ataques DeFi.

Implicaciones para la seguridad de los DEX

Este incidente subraya los riesgos persistentes que enfrentan los exchanges descentralizados, especialmente aquellos desplegados en redes de Capa 2 como Arbitrum. Aunque las L2 ofrecen ventajas en costos, los proyectos a veces se apresuran a lanzar sin auditorías de seguridad completas, dejando a los usuarios y proveedores de liquidez expuestos. Las capacidades de monitoreo de CertiK resaltan por qué la vigilancia en cadena se ha vuelto esencial para detectar estos ataques en tiempo real y proteger el ecosistema en general.

El ataque a TMX sirve como un recordatorio de que incluso plataformas DEX establecidas deben priorizar la verificación de contratos inteligentes y la monitorización continua de seguridad para prevenir que ocurran brechas similares.