#StablRStablecoinDepegsAfterExploit

El 24 de mayo de 2026, un exploit devastador golpeó al emisor de stablecoins regulado con sede en Malta, StablR, causando que sus dos principales stablecoins, USDR y EURR, perdieran su paridad. Esto no fue un hackeo sofisticado de contratos inteligentes, sino una falla catastrófica en la gestión básica de claves—un atacante comprometió una sola clave privada de una billetera multisig 1-de-3, obteniendo control total de acuñación y creando tokens no respaldados por valor de 13,5 millones de dólares.

La clave comprometida pertenecía a un firmante de la cuenta de acuñación de StablR. Con un umbral de solo 1-de-3 firmas requerido para ejecutar acciones administrativas sensibles, el atacante solo necesitaba una clave robada para tomar el control. Usando la clave sustraída, el atacante añadió su propia dirección como propietario, eliminó sistemáticamente a todos los firmantes legítimos y obtuvo control completo sobre la función de acuñación.

Esta falla en la seguridad operativa les permitió acuñar 8,35 millones de USDR y 4,5 millones de EURR en una serie de transacciones—una enorme conmoción en la oferta sin respaldo en fiat. Luego, el atacante intercambió inmediatamente los activos acuñados en intercambios descentralizados (principalmente Uniswap) por ETH. Sin embargo, debido a la liquidez escasa, vendió con grandes descuentos, obteniendo finalmente solo **1,115 ETH (~$2.8 millones)** de los $13.5 millones en valor nominal de los tokens acuñados.

Impacto en el mercado y despegue

El impacto en el mercado fue inmediato y brutal. Con una oferta nueva y no respaldada vertida en los DEX, USDR sufrió el peor daño, cayendo un 30% hasta situarse en **$0.70**. Algunos informes indican que USDR se desplomó hasta **$0.40 en pánico máximo, mientras que otros señalaron una caída a $0.26**. EURR bajó un **23% hasta aproximadamente $0.88 frente a su paridad de $1.15 en los mercados EUR/USD—una desviación severa para activos diseñados para mantener un valor estable. La brecha también provocó una desconexión entre USDR y EURR, rompiendo la relación de precios esperada entre las dos stablecoins del mismo emisor.

StablR no es una operación pequeña. Como Institución de Dinero Electrónico regulada bajo el marco MiCA de la UE, el emisor afirmaba tener respaldo en fiat 1:1 con reservas mantenidas en cuentas segregadas en instituciones de primer nivel. Además, Tether había invertido en StablR en diciembre de 2024 para promover la adopción de stablecoins en Europa—una aprobación que ahora resalta cómo incluso actores bien capitalizados y regulados pueden fallar debido a debilidades operativas internas.

Reacción de la industria e implicaciones regulatorias

La firma de seguridad blockchain Blockaid, que primero alertó sobre el exploit en curso, fue clara en su evaluación, afirmando: “Esto no es un error en un contrato inteligente—es una falla en la gestión de claves y gobernanza.”. El detective en cadena ZachXBT fue uno de los primeros en alertar públicamente a la comunidad sobre actividades sospechosas relacionadas con contratos vinculados a StablR.

En respuesta, StablR anunció en su plataforma X que había identificado la vulnerabilidad y estaba conteniendo activamente su impacto, con más detalles a compartir tras la verificación. El emisor también supuestamente actuó rápidamente para congelar millones de dólares en fondos robados, aunque la recuperación total de activos para los usuarios sigue siendo incierta.

El incidente de StablR se suma a una tendencia preocupante en DeFi, con más de una docena de exploits importantes reportados solo en mayo de 2026. Otros brechas de alto perfil este mes incluyen THORChain ($10M), Verus Bridge, Echo Protocol, Polymarket y más. El hilo común en muchos de estos ataques no es la explotación sofisticada de código, sino claves privadas comprometidas y fallos en la gobernanza—un vector de ataque con el que la industria sigue luchando.

Palabra final

El exploit de StablR sirve como una advertencia: el cumplimiento regulatorio, el respaldo institucional y las reservas en fiat significan poco si la autoridad de acuñación está asegurada por lo que es esencialmente un único punto de fallo. El marco MiCA puede establecer estándares para reservas y transparencia, pero no ofrece protección contra un multisig 1-de-3 combinado con una seguridad operativa deficiente. A medida que las stablecoins avanzan hacia una adopción masiva, este incidente subraya que la gobernanza y la infraestructura de gestión de claves deben tratarse con la misma rigurosidad que la seguridad de los contratos inteligentes—de lo contrario, la próxima pérdida de paridad puede no recuperarse.