Chainflip pondrá a cero los saldos activos de los proveedores de liquidez afectados por el ataque que sustrajo 736.442,17 USDT de su bóveda en TRON. Antes de hacerlo, el protocolo registrará en la cadena cuánto tenía cada proveedor antes de la migración, con el objetivo de conservar la cantidad que reconoce como pendiente de recuperar y pagar.
La medida forma parte del plan de reinicio de Chainflip tras el incidente comunicado el 12 de septiembre. El saldo visible en la cuenta activa de los proveedores pasará a ser cero, pero el importe previo quedará anotado en un registro separado y también en la cadena de bloques. Esa anotación no equivale a un reembolso ya efectuado: la compensación sigue pendiente.
El ataque duplicó seis retiradas
Según la explicación publicada por Chainflip, el atacante retiró los fondos de USDT en TRON entre las 01:44 y las 03:10 UTC del 12 de septiembre. Para lograrlo, provocó que seis retiradas de proveedores de liquidez se pagaran dos veces.
La vulnerabilidad estaba relacionada con la forma en que el protocolo interpretaba las instrucciones incluidas en las transferencias de TRON. El atacante presentó una transacción que ya había sido firmada por los validadores de Chainflip y añadió una nota malformada. El software de monitorización interpretó esa información como una operación de intercambio fallida y ejecutó un reembolso adicional al pago ordinario de la retirada.
Chainflip asegura que la bóveda de TRON contiene ahora muchos menos USDT de los que adeuda a los proveedores. Por ello, el reinicio separará el saldo operativo de la cantidad contabilizada para la recuperación. La incidencia afecta específicamente a los proveedores de liquidez de USDT en TRON, denominado trxUSDT en el protocolo y en su software. Chainflip sostiene que el resto de los fondos no se vio afectado.
Un reinicio separado del proceso de recuperación
El plan contempla cerrar las órdenes y estrategias abiertas de TRON/USDT, además de deshacer los préstamos y las posiciones de financiación vinculadas a esa ruta. Después, Chainflip registrará el saldo de trxUSDT que correspondía a cada proveedor antes de la migración y restablecerá a cero el saldo de su cuenta activa.
La diferencia entre ambos registros es relevante. El saldo activo reflejará la situación operativa tras el reinicio, mientras que la anotación separada mantendrá la cifra que Chainflip afirma deber a cada proveedor para futuras entregas. El protocolo ha prometido compensar íntegramente a los afectados, pero sus actualizaciones públicas no detallan de dónde saldrán los fondos ni fijan un calendario de pagos. Tampoco informan de reembolsos completados o de una cantidad recuperada de forma definitiva.
La ruta de TRON sigue excluida
Para cerrar el fallo, Chainflip modificó la lógica que permite adjuntar instrucciones de intercambio a las transferencias de TRON. El nuevo sistema acepta notas asociadas a una transferencia simple de TRX o a una transferencia directa de un token TRC-20, pero excluye las transferencias incluidas dentro de otra llamada a contrato. Ese era el camino utilizado para activar el reembolso adicional, según la explicación del protocolo.
Para el 16 de septiembre, Chainflip había reanudado los intercambios y las cotizaciones en el resto de la red. La ruta de TRON, sin embargo, permanecía fuera de servicio. Sus proveedores de liquidez afectados quedan así a la espera de que termine la migración contable y de que se concrete el proceso de recuperación de los fondos.
