Un grupo de estafadores creó una red blockchain falsa que imitaba a GIWA, el proyecto de capa 2 de Ethereum respaldado por Upbit, y consiguió que 1.333 monederos depositaran 767 ETH, valorados en unos 2 millones de dólares. Después, los atacantes retiraron prácticamente todos los fondos mediante el puente asociado a esa infraestructura.
Una red falsa con la identidad esperada de GIWA
La infraestructura fraudulenta se presentó como la futura red principal de GIWA. Incluía un punto de acceso RPC, un puente entre cadenas y el identificador de red 9134, el mismo que estaba asociado al lanzamiento previsto del proyecto. Sin embargo, la red principal de GIWA todavía no estaba operativa.
GIWA negó en una publicación en X que se hubiera filtrado el RPC de producción. La compañía explicó que no existe actualmente un RPC de su red principal y que su documentación solo recoge GIWA Sepolia, que utiliza el identificador 91342. La red de producción continúa en desarrollo.
El uso del identificador 9134 ayudó a que la copia pareciera legítima durante las primeras comprobaciones. Un Chain ID permite a los monederos identificar la red a la que están conectados, pero no demuestra quién controla el RPC, el puente o los contratos que operan detrás de esa red. Esa diferencia fue clave para la estafa.
DYORSWAP, una plataforma cuya comunidad interactuó inicialmente con la red supuestamente vinculada a GIWA, confirmó después que se trataba de una infraestructura fraudulenta. El proyecto advirtió contra el uso de RPC, puentes y contratos que no procedan de canales oficiales. También señaló que había identificado mensajes e individuos sospechosos dentro de la comunidad que podrían estar relacionados con el incidente.
Los atacantes esperaron a acumular depósitos
Los datos registrados en la cadena apuntan a una preparación gradual del ataque. El analista seudónimo Stablemark afirmó que varias carteras vinculadas a la operación recibieron fondos a través de ChangeHero el 26 de septiembre. Unas 11 horas más tarde se activaron la cartera Safe que controlaba la operación y el puente falso.
Durante las 13 horas siguientes, 1.333 carteras enviaron un total de 767 ETH. Cuando el volumen de depósitos ya era suficiente, los operadores modificaron el código del portal del puente y retiraron 766 ETH en una sola transacción, según el análisis de Stablemark. La secuencia sugiere que mantuvieron el puente operativo el tiempo necesario para captar los fondos antes de sustituir el código que lo controlaba.
Parte del dinero ya ha comenzado a moverse. Stablemark indicó que 177 ETH fueron enviados a Tornado Cash, lo que dificulta seguir su rastro posterior. Otros 589 ETH permanecían repartidos entre cuatro carteras en el momento de su actualización. Por ahora, la mayor parte de los fondos sigue siendo visible en la cadena, aunque nuevas transferencias a mezcladores, exchanges u otros servicios podrían complicar su seguimiento o una eventual recuperación.
DYORSWAP anuncia compensaciones parciales
DYORSWAP ha puesto en marcha un plan para compensar a algunos de los usuarios afectados. Las carteras que utilizaron el puente por menos de 5 ETH recibirán, según las condiciones anunciadas, una compensación equivalente al 40% del importe transferido entre cadenas.
Las reclamaciones superiores a 5 ETH se analizarán por separado y exigirán verificar la identidad y la dirección. DYORSWAP justificó esta revisión al afirmar que algunas carteras con importes elevados podrían estar relacionadas con campañas de suplantación de identidad u otras actividades fraudulentas.
El proyecto también publicó una dirección para distribuir las compensaciones y pidió a las víctimas que la verifiquen mediante canales oficiales, ante el riesgo de nuevos intentos de fraude con solicitudes falsas de reembolso. Además, aseguró que conserva los registros RPC, las direcciones de los puentes, los datos de las transacciones y las comunicaciones de la comunidad para reconstruir cómo se difundió la red fraudulenta.
GIWA está siendo desarrollada por Dunamu, la empresa operadora de Upbit, sobre OP Stack de Optimism. En mayo, Dunamu y la Optimism Foundation anunciaron que el proyecto estaba previsto como la primera cadena empresarial OP autogestionada, con control operativo de Upbit y respaldo de infraestructura y soporte por parte de Optimism.
