El exploit de oráculo en Solido Money drena 293.7 millones de SUPRA — y lo que significa para DeFi

Cómo el atacante explotó un feed de precios obsoleto

La vulnerabilidad central fue una asignación incorrecta del oráculo en el sistema de valoración de colaterales de Solido Cash — específicamente, un feed de precios desactualizado o mal configurado utilizado para valorar el colateral SOLID . El protocolo dependía de un precio de oráculo para SOLID que se había vuelto obsoleto o estaba mapeado incorrectamente, lo que provocó que el colateral se valorara muy por encima de su precio real de mercado . Al depositar SOLID como colateral con esta valoración inflada, el atacante pudo retirar 293.7 millones de tokens SUPRA — superando con creces lo que el colateral legítimo debería haber permitido .

El exploit se desarrolló en dos oleadas de ataque separadas, ambas explotando la misma vulnerabilidad :

• Oleada A (18:21:35 UTC): Una sola transacción encadenó varios pasos — intercambiar tokens, depositarlos como colateral y acuñar nuevos CASH — obteniendo 266,778,767 SUPRA .
• Oleada B: El atacante repitió el mismo patrón, elevando el total a aproximadamente 293.7 millones de SUPRA .

La firma de seguridad PeckShield confirmó la brecha y la pérdida aproximada .

De manera crítica, aproximadamente el 90% de los fondos robados pertenecían a la propia Fundación Solido, no a usuarios minoristas. Esto significa que la fundación — no los prestamistas o prestatarios individuales — absorbió casi toda la pérdida .

Dónde rastrearon los fondos los investigadores de blockchain

Solido Money publicó un informe forense detallando el rastro en cadena:

• Aproximadamente 220 millones de SUPRA — aproximadamente el 84% de los tokens robados — se movieron a una dirección sospechosa de ser una dirección de depósito de Gate.io . Algunas fuentes redondean esta cifra a "casi el 90%" de los fondos robados (220M de 293.7M) . La cifra del 84% aparece en el informe del propio protocolo y en múltiples noticias .
• Se cree que el atacante depositó estos tokens en Gate.io en preparación para su liquidación o transferencia entre cadenas .
• Solido solicitó asistencia a los exchanges para ayudar a congelar y recuperar los fondos .

Un patrón más amplio: dos exploits de oráculo de Supra en dos semanas

El exploit de Solido no es un incidente aislado. Apenas 12 días antes, el 11 de julio de 2026, el protocolo de préstamos basado en Hedera Bonzo Lend perdió ~$9.05 millones a través de un exploit de oráculo relacionado .

Bonzo Lend (11 de julio de 2026):

• El atacante depositó solo 250 tokens SAUCE (valorados en unos pocos dólares) y luego envió una actualización de precio falsa de SAUCE/wHBAR que infló el valor del token en 12 órdenes de magnitud .
• La vulnerabilidad fue una falla de aceptación de firma cero BLS en el contrato verificador en cadena de Supra. El verificador aceptó un precio falsificado que contenía una firma y una clave pública puestas a cero como válidas .
• En ocho segundos, el atacante tomó prestados 6.63 millones de USDC y 34.5 millones de wHBAR .

Ambos protocolos — Solido Money y Bonzo Lend — dependían de Supra como su proveedor de oráculo . De la misma infraestructura surgieron dos modos de fallo diferentes:

• La falla de Bonzo fue una falla de verificación criptográfica (bypass de firma cero) en el verificador en cadena de Supra .
• La falla de Solido fue una asignación de feed de precios desactualizada/mal configurada para el colateral SOLID — una clase diferente de fallo de oráculo, pero que también se origina en cómo se ingirieron y validaron los datos de precio de Supra .

Los dos incidentes, ocurridos con dos semanas de diferencia, han puesto al ecosistema de oráculos de Supra bajo un escrutinio intensificado. Los analistas de seguridad piden una validación de marcas de tiempo más estricta, normalización de decimales de feeds y agregación de múltiples fuentes para prevenir exploits similares .

Lecciones clave para los protocolos DeFi

1. La mala configuración del oráculo es tan peligrosa como una falla criptográfica. Un feed de precios desactualizado puede ser explotado con la misma efectividad que un verificador de firmas roto.
2. El 90% de los fondos robados pertenecían a la fundación del protocolo, lo que destaca lo estrechamente vinculados que están los tesoros de los proyectos con el riesgo del protocolo.
3. La dependencia de un solo oráculo crea un riesgo sistémico. Tanto Bonzo como Solido dependían del mismo proveedor (Supra), creando una cascada de vulnerabilidades en múltiples protocolos.
4. La investigación forense en blockchain permitió la trazabilidad. El propio informe forense de Solido rastreó el 84% de los fondos robados hasta una dirección de exchange específica, dando a los investigadores una pista clara.

El exploit de Solido subraya una lección crítica: cuando los feeds de precios fallan — ya sea por datos desactualizados o una firma falsificada — el daño puede extenderse en cascada por todo un ecosistema.