Cómo un Explotador Planeó Durante 269 Días el Vaciado de $7.3 Millones en Contratos Olvidados de DxSale

A finales de mayo de 2026, un sofisticado atacante logró vaciar aproximadamente $7.3 millones de más de 1,400 fondos de liquidez en la BNB Chain. El objetivo no fue un protocolo nuevo y de alta tecnología, sino los contratos inteligentes abandonados de DxSale, una popular plataforma de lanzamiento de tokens de la ola alcista de 2021. El incidente sirve como una advertencia contundente sobre los peligros persistentes de los "contratos zombis": infraestructura DeFi sin mantenimiento pero aún con fondos, que puede convertirse en una bomba de tiempo si las claves de administrador ("admin keys") no se aseguran o renuncian correctamente.

El Objetivo: Los 'Lockers' Heredados y Olvidados de DxSale

El exploit se centró exclusivamente en los contratos de bloqueo de liquidez heredados ("legacy liquidity locker") de DxSale. Estos son contratos inteligentes diseñados para custodiar los tokens de los proveedores de liquidez (LP) durante un período, una práctica común usada por nuevos proyectos de criptomonedas para generar confianza. El objetivo eran reliquias de 2021, que ya no recibían mantenimiento, pero que aún retenían una liquidez bloqueada significativa de aquella época .

Estos viejos contratos conservaban funciones sensibles de privilegio de propietario, lo que los hacía vulnerables. La firma de seguridad SlowMist clasificó el vector de ataque como un "Ataque de Anulación de Propiedad" (Ownership Override Attack), donde el atacante usó su control sobre el contrato para establecer comisiones de retiro cercanas a cero, retrotraer las fechas de desbloqueo a 1970 y drenar libremente los tokens LP bloqueados a través de un contrato de drenaje hecho a medida .

Un Plan a Largo Plazo: 269 Días de Preparación

Lo que distingue a este hackeo de una brecha oportunista es la evidencia de una extensa planificación a largo plazo. Los datos en la cadena revelan que el atacante preparó el terreno casi nueve meses antes de que los fondos fueran drenados.

• Agosto de 2025: La propiedad del contrato 'locker' heredado crítico se transfirió a una dirección ahora controlada por el atacante .
• 28-29 de Mayo de 2026: Aproximadamente 269 días después, se ejecutó el drenaje real .

Esta posición previa sugiere una deliberación cuidadosa, no un crimen de oportunidad. Analistas en la cadena y firmas de seguridad como PeckShield y SlowMist han notado que la eficiencia del ataque apunta a un conocimiento profundo, probablemente interno, de la arquitectura de contratos obsoleta y específica de DxSale .

Un Historial de Advertencias Infravaloradas

El exploit de 2026 no llegó sin señales de alerta previas. En junio de 2025, la firma de seguridad blockchain Decurity reveló un error grave en otro contrato inteligente de DxSale en la BNB Chain, que en ese momento ponía en riesgo al menos $5.2 millones en fondos de usuarios. Por encontrar y reportar responsablemente una vulnerabilidad que podría haber resultado en una pérdida multimillonaria, a Decurity supuestamente se le ofreció una recompensa de solo $500, una cantidad tan baja que fue noticia en la industria y ampliamente criticada .

Aunque ese error específico fue posteriormente parcheado, el incidente expuso un patrón de negligencia en la infraestructura de seguridad que parece haber persistido, culminando en la brecha mucho más dañina a los 'lockers' heredados un año después.

El Lavado del Botín: Fragmentación y Ofuscación

Tras obtener el control de los tokens LP, el atacante se movió rápidamente para ocultar el rastro de los fondos robados. La dirección principal del atacante, 0xC4574DDEF299e7E563971e200433e592EeaaFA69, adoptó un enfoque de varios pasos para lavar los activos .

1. Intercambio de Tokens: Los tokens LP robados se convirtieron inmediatamente a BNB, la moneda nativa de la BNB Chain, para dificultar el rastreo en la cadena .
2. Consolidación y División: Aproximadamente 2,958 BNB, con un valor de alrededor de $1.87 millones en ese momento, se transfirieron desde la dirección principal a dos billeteras intermediarias .
3. Distribución: Los fondos de esas billeteras se dispersaron luego a través de múltiples direcciones de depósito, una técnica diseñada para fragmentar aún más el rastro del dinero y complicar los esfuerzos de recuperación . Los informes iniciales también señalaron el uso de servicios entre cadenas como AnySwap en el proceso de lavado .

El Panorama General: El Brutal 2026 de las DeFi

El incidente de DxSale no es un evento aislado, sino parte de una ola devastadora de delitos con criptomonedas en 2026. El año ya se encamina a ser uno de los peores registrados para la seguridad en la cadena.

• Un Primer Trimestre Engañoso: En el primer trimestre de 2026, los protocolos de finanzas descentralizadas (DeFi) perdieron aproximadamente $168-169 millones en 34 exploits. Si bien esto fue una caída del 89% desde los asombrosos $1.58 mil millones perdidos en el primer trimestre de 2025 (cifra fuertemente inflada por el hackeo de Bybit de $1.4 mil millones), los expertos en seguridad advirtieron que la amenaza estaba lejos de terminar .
• Un Abril Récord: Esas advertencias resultaron acertadas. Abril de 2026 se convirtió en el mes con más hackeos en la historia de las criptomonedas, con más de $606 millones robados solo en protocolos DeFi. Esto desencadenó un éxodo masivo de $13 mil millones en valor total bloqueado (TVL) del ecosistema DeFi en 48 horas .
• Escalada de Pérdidas Acumuladas: Para finales de mayo de 2026, las pérdidas totales por hackeos y exploits de criptomonedas habían superado los $1.1 mil millones en 185 incidentes. Los exploits de DeFi y puentes entre cadenas representaron aproximadamente $816.9 millones de ese total .
• Amenaza Patrocinada por el Estado: Una porción significativa del daño se atribuye a grupos de hackers norcoreanos, quienes fueron responsables del 76% de todas las pérdidas por hackeos de criptomonedas hasta abril de 2026, robando aproximadamente $577 millones en solo unos pocos ataques importantes .

El exploit de DxSale, aunque no es la brecha más grande del año, es un ejemplo de libro de texto de un vector de amenaza creciente. A medida que el espacio DeFi se expande, el cementerio de viejos "contratos zombis", no auditados y sin mantenimiento, crece con él. Estos contratos retienen claves de administrador que, si se ven comprometidas o, como en este caso, se transfieren sigilosamente, ofrecen a los atacantes un camino directo a los fondos que aún estén bloqueados. El incidente es un recordatorio crítico de que la "liquidez bloqueada" es tan segura como el código y las claves que controlan el bloqueo.