El hacker de la puente cruzada de Verus devuelve el 75% de los fondos robados, la parte del protocolo acepta la conciliación y no tomará acciones legales

El atacante devuelve 4,052 ETH (aproximadamente 8.5 millones de dólares), reteniendo 1,350 ETH como recompensa—El caso de la brecha en el puente cross-chain de Verus termina en negociación, pero surge la discusión sobre si el mecanismo de recompensas fomenta de manera indirecta el "atacar primero y negociar después".
(Resumen previo: ¡El puente cross-chain de Verus en Ethereum fue atacado! Monitoreo de Blockaid: pérdidas superiores a 11.58 millones de dólares)
(Información adicional: Después del hackeo de THORChain, se lanzó una propuesta de recuperación: la pérdida de millones de dólares será absorbida por el protocolo, y el atacante $RUNE será destruido)

Índice de este artículo

Alternar

• Resultados de la negociación y detalles de la devolución de fondos
• Reacciones de la comunidad polarizadas: ¿ejemplo o incentivo?
• Revisión: la historia de los ataques a puentes cross-chain
• El modelo de recompensas: la doble cara de la seguridad en DeFi

El incidente ocurrido a mediados de mayo en el puente cross-chain de Verus en Ethereum, tras varios días de negociación, tuvo un avance importante. El atacante, hoy, devolvió voluntariamente aproximadamente 4,052 ETH, valorados en unos 8.5 millones de dólares, que representan el 75% de los 5,402 ETH (unos 11.58 millones de dólares) inicialmente robados. El equipo de Verus anunció que aceptaba el resultado de la negociación, acordando no perseguir legalmente al hacker, y consideró los 1,350 ETH restantes (unos 2.8 millones de dólares) como una recompensa de "white hat", en reconocimiento a que el atacante descubrió y reveló la vulnerabilidad.

Resultados de la negociación y detalles de la devolución de fondos

Según datos en la cadena, estos fondos devueltos fueron transferidos en varias partes desde la dirección del atacante a la billetera oficial designada por Verus. Aunque no se han divulgado todos los detalles de la negociación, la comunidad en general cree que se trató de una negociación liderada por el equipo de Verus en forma de una "recompensa por divulgación de vulnerabilidades". El atacante publicó un comunicado en plataformas sociales, enfatizando que no fue un acto malicioso de robo, sino que buscaba incentivar a la comunidad a prestar más atención a la seguridad del protocolo, y agradeció al equipo por estar dispuesto a resolver el problema de manera constructiva.

Reacciones de la comunidad polarizadas: ¿ejemplo o incentivo?

No obstante, dentro de la comunidad de Verus, las opiniones sobre este resultado son divididas. Algunos consideran que es un ejemplo en la historia de la seguridad en DeFi, ya que mediante la negociación se redujeron las pérdidas, se evitó un proceso judicial largo, y se recuperó la mayor parte de los fondos; pero otros critican que esto equivale a un incentivo indirecto para "atacar primero y negociar después", permitiendo que los hackers puedan irse con recompensas sustanciosas tras un ataque.

Revisión: la historia de los ataques a puentes cross-chain

De hecho, este patrón no es exclusivo de este incidente. En julio de 2021, THORChain sufrió un ataque que causó pérdidas de aproximadamente 5 millones de dólares; tras una comunicación pública, el atacante devolvió la mayor parte de los fondos y recibió una recompensa del 10%. En agosto del mismo año, Poly Network fue hackeado por 6.1 mil millones de dólares; bajo presión social y negociaciones con el protocolo, el hacker devolvió casi todos los fondos, y el protocolo no presentó cargos. Estos casos muestran un patrón similar: los atacantes no solo buscan lucro, sino que también tienen la intención de "revelar vulnerabilidades", y los protocolos ofrecen recompensas para facilitar la recuperación de fondos.

En contraste, los ataques a Wormhole en 2022 (pérdidas de 320 millones de dólares) y a Ronin (pérdidas de 620 millones de dólares) tuvieron resultados completamente diferentes. Wormhole fue compensado en su totalidad por Jump Crypto, y el atacante aún no ha sido capturado; Ronin, por su parte, se atribuye al grupo Lazarus de Corea del Norte, y los fondos son difíciles de recuperar, con solo algunas posesiones congeladas por las autoridades. Estos casos muestran que las negociaciones de recompensas no siempre garantizan una resolución, y el resultado depende en gran medida de la identidad y motivación del atacante.

El modelo de recompensas: la doble cara de la seguridad en DeFi

El mecanismo de recompensas en el ecosistema de seguridad en DeFi se vuelve cada vez más complejo. Por un lado, proporciona a los proyectos una herramienta rápida para detener pérdidas, especialmente en etapas tempranas sin mecanismos de seguro, permitiendo reducir las pérdidas finales. Por otro lado, este modelo puede generar riesgos morales, haciendo que los potenciales atacantes piensen que solo con devolver la mayor parte de los fondos pueden evitar responsabilidades legales y, además, obtener recompensas sustanciales. A largo plazo, los protocolos de DeFi deben volver a lo fundamental: fortalecer las auditorías de código, desplegar monitoreo en tiempo real y mecanismos de pausa de emergencia, para reducir la ocurrencia de estos incidentes desde su raíz.

Michael J. Toutonghi, cofundador de Verus, expresó en la comunidad que este incidente les dejó una valiosa experiencia, y que en el futuro mejorarán la seguridad de los contratos de puente, considerando implementar mecanismos de bug bounty más completos, para que los white hats puedan reportar vulnerabilidades proactivamente antes de que ocurran ataques. Enfatizó que el objetivo principal del protocolo siempre será proteger los activos de los usuarios, y que aunque el resultado no fue perfecto, representa la mejor solución posible en la situación actual.

Hasta el momento de la publicación, el puente cross-chain de Verus ha vuelto a operar con normalidad, y los fondos de los usuarios están seguros. Este incidente deja una reflexión importante en la industria cripto: cuando existe espacio para negociar entre el atacante y el protocolo, ¿el mecanismo de recompensas puede convertirse en una práctica habitual en la seguridad de DeFi, o solo será una medida provisional que no soluciona los problemas de raíz?