El exploit de oráculo en Solido Money drena 293.7 millones de SUPRA — y lo que significa para DeFi
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID. El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID.
El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
Aproximadamente el 90% de los fondos robados pertenecían a la Fundación Solido, no a usuarios minoristas.
La investigación forense rastreó 220 millones de SUPRA (84%) hasta una dirección sospechosa de depósito en Gate.io.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA, valorados en aproximadamente $900,000, del protocolo de préstamos Solido Money. No fue un flash loan ni un hackeo complejo de contratos inteligentes: fue un error de precios. La causa raíz fue una asignación incorrecta del oráculo en el sistema de valoración de colaterales de Solido Cash: un feed de precios desactualizado o mal configurado para el colateral SOLID permitió al atacante pedir prestado mucho más de lo que el colateral legítimo debería haber permitido .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "El exploit de oráculo en Solido Money drena 293.7 millones de SUPRA — y lo que significa para DeFi"?
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID.
¿Cuáles son los puntos clave a validar primero?
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID. El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
¿Qué debo hacer a continuación en la práctica?
Aproximadamente el 90% de los fondos robados pertenecían a la Fundación Solido, no a usuarios minoristas.
El exploit de oráculo en Solido Money drena 293.7 millones de SUPRA — y lo que significa para DeFi
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID. El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID.
El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
Aproximadamente el 90% de los fondos robados pertenecían a la Fundación Solido, no a usuarios minoristas.
La investigación forense rastreó 220 millones de SUPRA (84%) hasta una dirección sospechosa de depósito en Gate.io.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA, valorados en aproximadamente $900,000, del protocolo de préstamos Solido Money. No fue un flash loan ni un hackeo complejo de contratos inteligentes: fue un error de precios. La causa raíz fue una asignación incorrecta del oráculo en el sistema de valoración de colaterales de Solido Cash: un feed de precios desactualizado o mal configurado para el colateral SOLID permitió al atacante pedir prestado mucho más de lo que el colateral legítimo debería haber permitido .
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "El exploit de oráculo en Solido Money drena 293.7 millones de SUPRA — y lo que significa para DeFi"?
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID.
¿Cuáles son los puntos clave a validar primero?
El 23 de julio de 2026, un atacante drenó 293.7 millones de tokens SUPRA ( $900,000) de Solido Money al explotar un feed de precios desactualizado para el colateral SOLID. El exploit se ejecutó en dos oleadas; la primera transfirió 266.7 millones de SUPRA en una sola transacción.
¿Qué debo hacer a continuación en la práctica?
Aproximadamente el 90% de los fondos robados pertenecían a la Fundación Solido, no a usuarios minoristas.
Cómo el atacante explotó un feed de precios obsoleto
La vulnerabilidad central fue una asignación incorrecta del oráculo en el sistema de valoración de colaterales de Solido Cash — específicamente, un feed de precios desactualizado o mal configurado utilizado para valorar el colateral SOLID. El protocolo dependía de un precio de oráculo para SOLID que se había vuelto obsoleto o estaba mapeado incorrectamente, lo que provocó que el colateral se valorara muy por encima de su precio real de mercado . Al depositar SOLID como colateral con esta valoración inflada, el atacante pudo retirar 293.7 millones de tokens SUPRA — superando con creces lo que el colateral legítimo debería haber permitido .
El exploit se desarrolló en dos oleadas de ataque separadas, ambas explotando la misma vulnerabilidad :
Oleada A (18:21:35 UTC): Una sola transacción encadenó varios pasos — intercambiar tokens, depositarlos como colateral y acuñar nuevos CASH — obteniendo 266,778,767 SUPRA .
Oleada B: El atacante repitió el mismo patrón, elevando el total a aproximadamente 293.7 millones de SUPRA .
La firma de seguridad PeckShield confirmó la brecha y la pérdida aproximada .
De manera crítica, aproximadamente el 90% de los fondos robados pertenecían a la propia Fundación Solido, no a usuarios minoristas. Esto significa que la fundación — no los prestamistas o prestatarios individuales — absorbió casi toda la pérdida .
Dónde rastrearon los fondos los investigadores de blockchain
Solido Money publicó un informe forense detallando el rastro en cadena:
Aproximadamente 220 millones de SUPRA — aproximadamente el 84% de los tokens robados — se movieron a una dirección sospechosa de ser una dirección de depósito de Gate.io. Algunas fuentes redondean esta cifra a "casi el 90%" de los fondos robados (220M de 293.7M) . La cifra del 84% aparece en el informe del propio protocolo y en múltiples noticias .
Se cree que el atacante depositó estos tokens en Gate.io en preparación para su liquidación o transferencia entre cadenas .
Solido solicitó asistencia a los exchanges para ayudar a congelar y recuperar los fondos .
Un patrón más amplio: dos exploits de oráculo de Supra en dos semanas
El exploit de Solido no es un incidente aislado. Apenas 12 días antes, el 11 de julio de 2026, el protocolo de préstamos basado en Hedera Bonzo Lend perdió ~$9.05 millones a través de un exploit de oráculo relacionado .
Bonzo Lend (11 de julio de 2026):
El atacante depositó solo 250 tokens SAUCE (valorados en unos pocos dólares) y luego envió una actualización de precio falsa de SAUCE/wHBAR que infló el valor del token en 12 órdenes de magnitud.
La vulnerabilidad fue una falla de aceptación de firma cero BLS en el contrato verificador en cadena de Supra. El verificador aceptó un precio falsificado que contenía una firma y una clave pública puestas a cero como válidas .
En ocho segundos, el atacante tomó prestados 6.63 millones de USDC y 34.5 millones de wHBAR.
Ambos protocolos — Solido Money y Bonzo Lend — dependían de Supra como su proveedor de oráculo. De la misma infraestructura surgieron dos modos de fallo diferentes:
La falla de Bonzo fue una falla de verificación criptográfica (bypass de firma cero) en el verificador en cadena de Supra .
La falla de Solido fue una asignación de feed de precios desactualizada/mal configurada para el colateral SOLID — una clase diferente de fallo de oráculo, pero que también se origina en cómo se ingirieron y validaron los datos de precio de Supra .
Los dos incidentes, ocurridos con dos semanas de diferencia, han puesto al ecosistema de oráculos de Supra bajo un escrutinio intensificado. Los analistas de seguridad piden una validación de marcas de tiempo más estricta, normalización de decimales de feeds y agregación de múltiples fuentes para prevenir exploits similares .
Lecciones clave para los protocolos DeFi
La mala configuración del oráculo es tan peligrosa como una falla criptográfica. Un feed de precios desactualizado puede ser explotado con la misma efectividad que un verificador de firmas roto.
El 90% de los fondos robados pertenecían a la fundación del protocolo, lo que destaca lo estrechamente vinculados que están los tesoros de los proyectos con el riesgo del protocolo.
La dependencia de un solo oráculo crea un riesgo sistémico. Tanto Bonzo como Solido dependían del mismo proveedor (Supra), creando una cascada de vulnerabilidades en múltiples protocolos.
La investigación forense en blockchain permitió la trazabilidad. El propio informe forense de Solido rastreó el 84% de los fondos robados hasta una dirección de exchange específica, dando a los investigadores una pista clara.
El exploit de Solido subraya una lección crítica: cuando los feeds de precios fallan — ya sea por datos desactualizados o una firma falsificada — el daño puede extenderse en cascada por todo un ecosistema.
Cómo el atacante explotó un feed de precios obsoleto
La vulnerabilidad central fue una asignación incorrecta del oráculo en el sistema de valoración de colaterales de Solido Cash — específicamente, un feed de precios desactualizado o mal configurado utilizado para valorar el colateral SOLID. El protocolo dependía de un precio de oráculo para SOLID que se había vuelto obsoleto o estaba mapeado incorrectamente, lo que provocó que el colateral se valorara muy por encima de su precio real de mercado . Al depositar SOLID como colateral con esta valoración inflada, el atacante pudo retirar 293.7 millones de tokens SUPRA — superando con creces lo que el colateral legítimo debería haber permitido .
El exploit se desarrolló en dos oleadas de ataque separadas, ambas explotando la misma vulnerabilidad :
Oleada A (18:21:35 UTC): Una sola transacción encadenó varios pasos — intercambiar tokens, depositarlos como colateral y acuñar nuevos CASH — obteniendo 266,778,767 SUPRA .
Oleada B: El atacante repitió el mismo patrón, elevando el total a aproximadamente 293.7 millones de SUPRA .
La firma de seguridad PeckShield confirmó la brecha y la pérdida aproximada .
De manera crítica, aproximadamente el 90% de los fondos robados pertenecían a la propia Fundación Solido, no a usuarios minoristas. Esto significa que la fundación — no los prestamistas o prestatarios individuales — absorbió casi toda la pérdida .
Dónde rastrearon los fondos los investigadores de blockchain
Solido Money publicó un informe forense detallando el rastro en cadena:
Aproximadamente 220 millones de SUPRA — aproximadamente el 84% de los tokens robados — se movieron a una dirección sospechosa de ser una dirección de depósito de Gate.io. Algunas fuentes redondean esta cifra a "casi el 90%" de los fondos robados (220M de 293.7M) . La cifra del 84% aparece en el informe del propio protocolo y en múltiples noticias .
Se cree que el atacante depositó estos tokens en Gate.io en preparación para su liquidación o transferencia entre cadenas .
Solido solicitó asistencia a los exchanges para ayudar a congelar y recuperar los fondos .
Un patrón más amplio: dos exploits de oráculo de Supra en dos semanas
El exploit de Solido no es un incidente aislado. Apenas 12 días antes, el 11 de julio de 2026, el protocolo de préstamos basado en Hedera Bonzo Lend perdió ~$9.05 millones a través de un exploit de oráculo relacionado .
Bonzo Lend (11 de julio de 2026):
El atacante depositó solo 250 tokens SAUCE (valorados en unos pocos dólares) y luego envió una actualización de precio falsa de SAUCE/wHBAR que infló el valor del token en 12 órdenes de magnitud.
La vulnerabilidad fue una falla de aceptación de firma cero BLS en el contrato verificador en cadena de Supra. El verificador aceptó un precio falsificado que contenía una firma y una clave pública puestas a cero como válidas .
En ocho segundos, el atacante tomó prestados 6.63 millones de USDC y 34.5 millones de wHBAR.
Ambos protocolos — Solido Money y Bonzo Lend — dependían de Supra como su proveedor de oráculo. De la misma infraestructura surgieron dos modos de fallo diferentes:
La falla de Bonzo fue una falla de verificación criptográfica (bypass de firma cero) en el verificador en cadena de Supra .
La falla de Solido fue una asignación de feed de precios desactualizada/mal configurada para el colateral SOLID — una clase diferente de fallo de oráculo, pero que también se origina en cómo se ingirieron y validaron los datos de precio de Supra .
Los dos incidentes, ocurridos con dos semanas de diferencia, han puesto al ecosistema de oráculos de Supra bajo un escrutinio intensificado. Los analistas de seguridad piden una validación de marcas de tiempo más estricta, normalización de decimales de feeds y agregación de múltiples fuentes para prevenir exploits similares .
Lecciones clave para los protocolos DeFi
La mala configuración del oráculo es tan peligrosa como una falla criptográfica. Un feed de precios desactualizado puede ser explotado con la misma efectividad que un verificador de firmas roto.
El 90% de los fondos robados pertenecían a la fundación del protocolo, lo que destaca lo estrechamente vinculados que están los tesoros de los proyectos con el riesgo del protocolo.
La dependencia de un solo oráculo crea un riesgo sistémico. Tanto Bonzo como Solido dependían del mismo proveedor (Supra), creando una cascada de vulnerabilidades en múltiples protocolos.
La investigación forense en blockchain permitió la trazabilidad. El propio informe forense de Solido rastreó el 84% de los fondos robados hasta una dirección de exchange específica, dando a los investigadores una pista clara.
El exploit de Solido subraya una lección crítica: cuando los feeds de precios fallan — ya sea por datos desactualizados o una firma falsificada — el daño puede extenderse en cascada por todo un ecosistema.
