En octubre de 2022, Mango Markets perdió $116 millones debido a la manipulación del precio del oráculo.
En mayo de 2022, Venus perdió $11,2 millones a causa de un retraso en la actualización del precio del oráculo.
El pasado julio, Rho Markets perdió $7,6 millones tras una actualización de contrato que provocó precios erróneos en el oráculo.
La verdad es que estas pérdidas podrían haberse evitado por completo. ¿Cómo? Sigue leyendo.
Oráculos: El pilar vital de los protocolos DeFi
Los oráculos, que alimentan datos a las blockchains, son fundamentales para los casos de uso de DeFi como préstamos y derivados. Sin embargo, muchos proyectos importantes—incluyendo Compound, Cream Finance, Mango Markets, Venus y Rho Markets—han sufrido pérdidas significativas debido a ataques relacionados con oráculos.
Imagina que depositas un ETH en una plataforma de préstamos, esperando pedir prestado algún activo, solo para descubrir que tu garantía está valorada en más de 63 mil dólares. ¡Podrías pensar que has tocado el premio gordo! Sin embargo, para los equipos de protocolo, esto es un escenario de pesadilla. Esto ocurrió realmente el año pasado en Rho Markets.
Anomalías de precios: El fallo fatal ignorado
El 19 de julio de 2024, Rho Markets actualizó sus contratos inteligentes para lanzar un nuevo mercado de activos. Sin embargo, una configuración incorrecta en el script de implementación provocó que los precios de BTC y ETH del oráculo se invirtieran. Como resultado, el precio del ETH se infló erróneamente 20 veces, lo que permitió a los usuarios pedir prestadas grandes cantidades a un costo mínimo—y finalmente provocó pérdidas de $7,6 millones.
Cronología clave (UTC):
- 1️⃣ 08:58:29 (Bloque 7580110) — El oráculo devolvió el precio normal de ETH.
-
2️⃣ 08:58:32 (Bloque 7580111) — El contrato del oráculo fue actualizado. Hash de transacción: https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34 (Bloque 7580112) — Un bloque después, el precio de ETH devuelto por el oráculo se disparó de $3.384 a $63.653 (el precio de BTC fue aplicado erróneamente a ETH), ¡17 veces el valor real!
-
4️⃣ 08:59:49 — Solo un minuto después, se lanzó el primer ataque: un bot MEV usó 84 ETH como garantía para pedir prestado 942 wstETH. Repitiendo este proceso, el bot drenó $7,6 millones. Hash de transacción del primer ataque: https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 — Los componentes vulnerables del protocolo fueron desactivados, pero ya era demasiado tarde.
Si Rho Markets hubiera implementado los Monitores de Oráculo de Phalcon, ¿cómo habrían sido las cosas?
👉 👉 Phalcon habría detectado instantáneamente el precio anormal y activado una respuesta de emergencia automatizada—cerrando por completo cualquier oportunidad de ataque.
Phalcon admite monitoreo de anomalías en precios de oráculo:
-
Desviación de precio: Monitorea la magnitud de los cambios en el precio del oráculo y señala subidas o caídas abruptas. (p. ej., alerta si el precio cambia más de un 200% entre dos muestras)
-
Rango de precio: Establece límites de precio aceptables. (p. ej., alerta si el precio sale del rango de $2.380–$4.380)
-
Discrepancia de precio: Compara el precio del oráculo base con un oráculo de referencia. (p. ej., alerta si los precios difieren en más de un 30%)
Por lo general, el equipo del proyecto verifica rigurosamente las configuraciones críticas antes de actualizar contratos o cambiar parámetros. Sin embargo, en este incidente, un descuido manual llevó a omitir las verificaciones de precio del oráculo. Aunque los activos perdidos fueron devueltos por el bot MEV en este caso, esa "suerte" es poco frecuente en la mayoría de los ataques.
En realidad, configurar cualquiera de los monitores anteriores habría permitido al sistema detectar valores anómalos del oráculo de inmediato y alertar al equipo a través de cualquiera de los siete canales de notificación compatibles. Más importante aún, la intervención manual suele ser demasiado lenta—el tiempo entre una anomalía y un exploit puede ser extremadamente corto (en este caso, solo un minuto). Con Phalcon, las defensas de emergencia se activan automáticamente, por lo que los ataques simplemente no tienen oportunidad de ocurrir.
Los retrasos y fallos también pueden ser letales
En mayo de 2022, mientras el precio de $LUNA continuaba desplomándose, el interruptor automático integrado de Chainlink se activó, pausando las actualizaciones de precio de $LUNA en $0,107. El protocolo Venus no lo detectó a tiempo y continuó operando con el precio desactualizado. Cuatro horas después—cuando el equipo respondió—el precio real había caído a $0,01. Durante este período, varias direcciones utilizaron $LUNA como garantía para pedir prestadas grandes cantidades de activos, lo que resultó en una pérdida de aproximadamente $11,2 millones para el protocolo.
Si Venus hubiera implementado los Monitores de Oráculo de Phalcon, ¿cómo habrían sido las cosas?
👉 👉 Phalcon admite monitoreo de retrasos en la actualización de precios y verificaciones de salud del oráculo—garantizando fuentes de precios oportunas y confiables. Si se hubiera producido alguna anomalía, el equipo habría sido alertado de inmediato.
Muchos proyectos dependen de un único oráculo como fuente de precios y carecen de mecanismos para protegerse contra anomalías de precios. Cuando algo sale mal, los atacantes se benefician, los usuarios son liquidados y la reputación de los proyectos se ve afectada.
Phalcon puede monitorear tanto oráculos personalizados como de terceros (como Chainlink y Pyth), proporcionando garantía en tiempo real de estabilidad y precisión de precios, previniendo riesgos de liquidación y manipulación de precios.
¿Qué es BlockSec Phalcon?
Phalcon combina a la perfección la Prevención de Amenazas de Seguridad (APP de Seguridad) y la Gestión de Riesgos de Cumplimiento (APP de Cumplimiento), ofreciendo a los usuarios una solución integrada tanto para seguridad como para cumplimiento normativo.
APP de Seguridad
🔗 https://blocksec.com/phalcon/security
Ofrece protección integral posterior al lanzamiento, incluyendo:
- Monitoreo de ataques en tiempo real
- Monitoreo de riesgos operativos, de interacción, financieros y personalizados
- Protección dinámica de Safe{Wallet}
- Monitoreo flexible de precios de tokens, cantidades, variables clave, eventos sensibles y llamadas a funciones
- Respuesta de emergencia automatizada (compatible con carteras EOA y multifirma)
APP de Cumplimiento
🔗 https://blocksec.com/phalcon/compliance
Analiza direcciones y monitorea transacciones en tiempo real, ayudando a los VASPs a identificar exposición al riesgo y actividad sospechosa de usuarios para cumplir con los requisitos de cumplimiento AML/CFT.
🔥 Pruébalo ahora
BlockSec Phalcon ahora es compatible con más de 30 blockchains principales, incluyendo Ethereum, BSC, Solana, Base, Tron, Arbitrum, Avalanche, Optimism, Manta, Merlin, Mantle, Sei, Bitlayer, Core, BoB, Story, Sonic, Gnosis y Berachain.
¡Reserva una demostración del producto ahora! Haz clic aquí o visita el enlace a continuación. Empieza en solo 10 segundos—¡los primeros 30 registros obtienen una prueba gratuita!
🔗 Reservar una demostración: https://blocksec.com/book-demo
