Un fallo introducido durante una limpieza rutinaria del código de Radix permitió sustraer activos por valor aproximado de 1,26 millones de dólares y obligó a detener la finalización de transacciones de la red durante más de 10 días. El atacante aprovechó la vulnerabilidad el 31 de agosto, después de que el error permaneciera sin detectar durante más de tres años.
Una vulnerabilidad en la capa que ejecuta las transacciones
La Fundación Radix explicó el 17 de septiembre que el defecto fue introducido por un equipo de desarrollo de RDX Works en junio de 2023, durante una revisión del Radix Engine. Este componente se encarga de ejecutar las transacciones y aplicar las reglas de propiedad de los activos dentro de la red.
El problema afectaba a la forma en que el motor gestionaba las referencias a las bóvedas, los contenedores donde se almacenan los tokens. Una transacción podía identificar la bóveda de otro usuario mediante su dirección interna y entregar esa referencia a un contrato inteligente diseñado para operar con ella. El sistema permitía entonces ejecutar funciones ordinarias de retirada sin comprobar correctamente que quien solicitaba la operación era el propietario.
En la práctica, el atacante podía acceder a fondos de cuentas de usuarios, aplicaciones y pools de liquidez sin disponer de las firmas de sus titulares. La Fundación subrayó que no se comprometieron claves privadas.
Según una reconstrucción del libro mayor realizada por la comunidad, el atacante retiró en 26 transacciones unos 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 bitcoins envueltos, 536,16 SOL y 32,91 BNB. Con los precios del mercado del 31 de agosto, el valor conjunto rondaba los 1,26 millones de dólares. Además, extrajo 13.000 XRD de una bóveda para pagar las comisiones de las operaciones. Solo los dos tokens estables representaban aproximadamente 531.335 dólares.
El puente no originó el robo, pero facilitó la salida de los fondos
Los activos fueron enviados a Ethereum, BNB Chain y Solana a través de Hyperlane, y posteriormente vendidos a cambio de ETH, según Radix. La Fundación precisó que el puente funcionó como estaba previsto: los fondos ya habían sido obtenidos de forma indebida mediante el Radix Engine antes de ser transferidos fuera de la red.
El alcance potencial era mayor que la pérdida inicial. Los investigadores concluyeron que la vulnerabilidad podía haberse utilizado contra cualquier bóveda de Radix, lo que exponía también otros tokens y activos más allá de los que fueron atacados. Por ese motivo, los validadores retiraron deliberadamente suficiente participación del proceso de consenso para impedir que la red siguiera finalizando transacciones mientras se preparaba una solución.
La interrupción se prolongó durante más de 10 días. El 11 de septiembre se reanudaron las transacciones de los usuarios, de acuerdo con la reconstrucción del libro mayor de la comunidad, después de aplicar una modificación del protocolo que impide utilizar una referencia restringida a una bóveda para ejecutar una retirada ordinaria.
El incidente provocó además pérdidas secundarias en varios pools de liquidez. Al retirar activos conectados mediante puentes de uno de los lados de los pares de negociación, el atacante alteró los precios. Esa distorsión permitió a otra cuenta extraer millones de XRD de los pools afectados, una señal de que un fallo en la capa de ejecución puede seguir generando daños económicos incluso después de que los fondos iniciales hayan abandonado la red.
El fallo había superado una auditoría de seguridad
La vulnerabilidad también había pasado una revisión independiente. Zellic auditó el protocolo de Radix en 2024, incluido el núcleo del motor que contenía el código defectuoso, pero no identificó el problema de autorización introducido durante la refactorización del año anterior.
Radix ha anunciado nuevas pruebas de regresión, un refuerzo del proceso de revisión de seguridad y la formalización del procedimiento de emergencia utilizado por los validadores para detener la red. La Fundación también considera necesario tener en cuenta las herramientas de análisis de código asistidas por inteligencia artificial, que, en su opinión, podrían haber ayudado al atacante a localizar un defecto con varios años de antigüedad.
El reto para Radix no consiste únicamente en corregir el código explotado. La red tendrá que revisar cómo se evalúan los cambios aparentemente rutinarios que afectan a la lógica de autorización, especialmente después de que una auditoría externa no detectara el fallo. La confianza de usuarios y proveedores de liquidez depende ahora de que esas barreras de propiedad vuelvan a quedar demostradas, no solo asumidas.
