El contrato Fusion fue hackeado, 267 000 dólares fueron transferidos a Tornado Cash, la seguridad de DeFi vuelve a sonar la alarma

Según las últimas noticias, CertiK Alert detectó el 7 de enero que el contrato Fusion PlasmaVault presenta una vulnerabilidad de seguridad grave. Los hackers, en una operación de retiro, transfirieron todos los fondos (aproximadamente 267,000 dólares) a la dirección EOA 0x9b1b mediante la configuración del contrato “fuse”, y posteriormente los transferieron a través de una cadena cruzada a Ethereum y los depositaron en Tornado Cash. Este incidente vuelve a poner de manifiesto los riesgos de seguridad en la fase de configuración de los contratos en los protocolos DeFi.

Detalles del evento: de la configuración al ocultamiento en toda la cadena

Análisis del proceso de ataque

El núcleo de este ataque radica en la explotación de la diferencia de tiempo:

• Los hackers iniciaron la llamada de retiro unos segundos después de completar la configuración del contrato “fuse”
• Aprovecharon una vulnerabilidad lógica en la fase de configuración del contrato para eludir los mecanismos normales de gestión de fondos
• Transferieron todos los fondos de una sola vez a la dirección EOA 0x9b1b
• A través de un puente cruzado, los movieron a Ethereum y finalmente entraron en Tornado Cash

La clave de este proceso es la vulnerabilidad en la ventana de configuración. Normalmente, los contratos DeFi en la fase de inicialización o configuración tienen problemas de control de permisos insuficientes, y los hackers aprovechan precisamente esa ventana de tiempo para realizar la transferencia de fondos.

¿Por qué elegir Tornado Cash?

El ingreso de fondos en Tornado Cash no es casual, refleja la intención clara de los hackers:

• Ocultar el origen y destino de los fondos: Tornado Cash rompe la trazabilidad en la cadena mediante su mecanismo de mezclado
• Evitar el congelamiento de fondos: una vez en el mezclador, los fondos son difíciles de rastrear y congelar
• Prepararse para un ocultamiento a largo plazo: esto no es una venta rápida, sino un ocultamiento prolongado

Esta elección indica que los hackers tienen un entendimiento bastante profundo del ecosistema DeFi y de las herramientas de privacidad.

Señales de tendencias de seguridad más amplias

Este no es un incidente aislado. Según los datos de monitoreo más recientes, los eventos de seguridad en DeFi ocurren con frecuencia:

Ambos eventos reflejan el mismo problema: el control de permisos en la fase de inicialización y configuración de los contratos DeFi sigue siendo un punto débil.

¿Por qué persisten este tipo de vulnerabilidades?

• La prisa por lanzar lleva a una inspección insuficiente de la configuración
• Los equipos de desarrollo no consideran todos los escenarios límite
• Incluso tras auditorías, es difícil cubrir todos los casos
• Los hackers aprovechan cada vez más precisamente la ventana de tiempo

Lecciones para usuarios y proyectos

Consejos para los proyectos

• Implementar mecanismos de multi-firma o bloqueo temporal en la configuración
• Establecer un período de enfriamiento tras la inicialización, en lugar de permitir uso inmediato
• Gestionar permisos en capas, evitando que un solo contrato controle todos los fondos

Consejos para los usuarios

• Participar con cautela en proyectos nuevos, esperar un tiempo para observar
• Seguir las alertas en tiempo real de instituciones de seguridad como CertiK
• No ingresar grandes cantidades de fondos en un solo contrato de una vez
• Revisar periódicamente las autorizaciones de las wallets y revocar permisos innecesarios

Resumen

La gravedad del incidente de Fusion no solo radica en la pérdida de 267,000 dólares, sino también en la exposición de una vulnerabilidad sistémica. Los hackers aprovecharon la ventana de configuración, realizaron transferencias cruzadas y finalmente entraron en el mezclador, formando una cadena completa que demuestra que los ataques contra DeFi ya tienen un patrón maduro.

Esto también advierte a todo el ecosistema: la auditoría y la monitorización son importantes, pero no infalibles. La verdadera seguridad requiere que los proyectos consideren todos los aspectos desde la fase de diseño, y los usuarios deben mantenerse alerta. Mientras los beneficios de DeFi son atractivos, la gestión de riesgos siempre debe ser la prioridad.