INK Finance por pérdida de 140,000 dólares debido a una vulnerabilidad de bypass de la lista blanca

Escrito por: Muriuki Lazaro, AMB Crypto

INK Finance es un protocolo de infraestructura de gestión de tesorería y espacio de trabajo para DeFi desplegado en Polygon, que recientemente sufrió un grave ataque de vulnerabilidad de autorización.

Los atacantes aprovecharon una debilidad en la lógica de verificación de la tesorería de la plataforma, y finalmente se llevaron aproximadamente 140,000 dólares en fondos.

La clave de este ataque radicó en que un contrato falsificado de reclamación logró hacerse pasar con éxito por una entidad en la lista blanca aprobada en el sistema de la tesorería.

Debido a esta omisión, los atacantes pudieron pasar la verificación de elegibilidad y activar una transferencia de la tesorería “autorizada” sin ser restringidos de inmediato.

Al mismo tiempo, los atacantes aceleraron la ejecución de la explotación mediante un préstamo flash de aproximadamente 25,000 dólares en Balancer V2, routing desde Railgun hacia Polygon.

Este flujo de fondos también pone de manifiesto que, a medida que la infraestructura de DeFi se interconecta cada vez más, la interacción entre sistemas de liquidez está aumentando la eficiencia en la ejecución de ataques.

El informe señala que los atacantes no apuntaron a capas criptográficas avanzadas, sino que aprovecharon problemas en la suposición de confianza operativa en torno a los permisos de la lista blanca, lo que refuerza las preocupaciones externas sobre la debilidad en el diseño de autorización en la arquitectura de la tesorería.

El sistema de autorización de la tesorería se está convirtiendo en un punto débil en DeFi

Este incidente de vulnerabilidad en la tesorería refleja un cambio más amplio en el panorama de ataques en DeFi: a medida que la complejidad de la infraestructura aumenta, los atacantes ya no solo se enfocan en pools de liquidez o sistemas de precios, sino que cada vez más apuntan a la capa de autorización de la tesorería con permisos elevados que controla los fondos del protocolo.

El incidente en INK Finance también demuestra que los atacantes están lanzando ataques contra los sistemas de autorización de la tesorería de manera de bajo costo y alta precisión.

Esta tendencia indica que los métodos de ataque modernos están poniendo cada vez más énfasis en la escalada de permisos, en lugar de solo manipular la liquidez a gran escala.

Al mismo tiempo, eventos similares relacionados con listas blancas y controles de acceso continúan aumentando en los sistemas de tesorería DAO en 2026, exponiendo repetidamente las debilidades en la verificación operativa durante la expansión de la infraestructura DeFi.

Sin embargo, estas fallas persistentes en la autorización también muestran que, en términos de seguridad operativa, las finanzas descentralizadas aún están rezagadas en comparación con el crecimiento de su infraestructura y capital.

Los ataques menores también están minando la confianza en DeFi

Cada vez más incidentes de ataques dirigidos a la autorización de la tesorería están debilitando gradualmente la confianza del mercado en la infraestructura general de DeFi.

Aunque la pérdida en INK Finance no fue particularmente grande, el evento rápidamente apareció en los paneles de seguridad y sistemas de monitoreo en cadena.

La importancia de esta visibilidad radica en que los usuarios suelen interpretar los incidentes de seguridad menores y recurrentes como señales de que la infraestructura subyacente del ecosistema aún es frágil.

El informe también menciona que eventos similares en SmartCredit, Sharwa y Quant continúan reforzando las preocupaciones externas sobre la debilidad en la disciplina de seguridad operativa.

Este incidente demuestra que, incluso con pérdidas económicas directas limitadas, los ataques a pequeña escala aún pueden tener un impacto desproporcionado en el mercado, ya que las fallas continuas en la autorización socavan la confianza de los usuarios, ralentizan la asignación de capital y aumentan la percepción de riesgo en todo el sistema interconectado.

No obstante, muchas de estas vulnerabilidades siguen siendo atribuibles a problemas de configuración de permisos que podrían haberse evitado, en lugar de fallos técnicos extremadamente complejos.

En resumen, la madurez en seguridad operativa todavía está rezagada respecto al crecimiento de la complejidad de la infraestructura.

Resumen breve

INK Finance sufrió una pérdida de aproximadamente 140,000 dólares debido a que los atacantes falsificaron un contrato de reclamación para eludir la verificación en la lista blanca.

Los ataques recurrentes de pequeña escala en la autorización en DeFi continúan debilitando la confianza de los usuarios en la infraestructura del sector.