El análisis más autoritativo del ataque contra Curve Finance, publicado por Rekt el 30 de julio de 2023, registra pérdidas verificadas de 69,3 millones de dólares en cuatro fondos de liquidez que se vaciaron completamente, y no la cifra de 351,6 millones de dólares que ha circulado en algunos resúmenes. Esa discrepancia es importante: no se encontró ninguna fuente autoritativa, ningún análisis en la cadena de bloques (on-chain) ni ninguna declaración oficial de Curve que respaldara la cifra más alta; presentarla como un hecho establecido es una tergiversación del alcance real de uno de los fallos más graves en la infraestructura de la tecnología DeFi.
El incidente, que ocurrió el 30 de julio de 2023, reveló una vulnerabilidad crítica no en el código Solidity de Curve, sino en el compilador de contratos inteligentes Vyper utilizado para crear varios de sus fondos de monedas estables (stablecoins). El ataque vació cuatro de estos fondos, explotando un error en el mecanismo de protección contra reentrancia (reentrancy guard) que había permanecido activo durante años en los contratos en producción. Todos los usuarios de DeFi que tenían acceso a liquidez, garantías o productos de rentabilidad vinculados a Curve sufrieron consecuencias, independientemente de que sus fondos se encontraran en los fondos directamente afectados o no.
Lo que muestra el registro documentado: cuatro fondos, 69,3 millones de dólares, un error en el compilador
Según el informe del incidente de Rekt, el ataque apuntaba a los fondos de Curve compilados con las versiones 0.2.15, 0.2.16 y 0.3.0 de Vyper. Estas versiones contenían una implementación defectuosa del mecanismo de protección contra reentrancia, que debería evitar que un contrato se ejecute de forma recursiva antes de que se complete una ejecución previa. Cuando este mecanismo falla, un atacante puede intervenir en el proceso de ejecución del contrato y manipular los datos contables internos, lo que conlleva al vaciado de fondos en un ciclo infinito.
Según la cuenta de Rekt, se drenaron un total de cuatro piscinas de almacenamiento de Ether. Los contratos afectados eran piscinas que manejaban Ether en su formato original (no tokens encapsulados), lo que los hacía susceptibles al mecanismo de ataque utilizado por el hacker. Las piscinas compiladas con versiones más recientes de Vyper, o aquellas que no contaban con funcionalidades para manejar Ether en su formato original, no estaban directamente en riesgo.
La cifra de $351.6 millones mencionada en algunos informes no ha sido verificada: no existe ningún informe oficial sobre el incidente, ninguna declaración de la administración de Curve, y ningún análisis en la cadena de bloques que confirme las pérdidas totales. Los lectores y analistas que citan esta cifra deben considerarla no confirmada hasta que una fuente fiable la valide. La cifra de $69.3 millones registrada por Rekt corresponde a pérdidas específicas, identificadas con detalle en un informe detallado del ataque.
El fallo en el compilador de Vyper: por qué las auditorías de contratos inteligentes no lo detectaron.
La causa principal del problema reside en el propio lenguaje utilizado por Curve y otros protocolos DeFi: Vyper, un lenguaje similar a Python que sirve como alternativa a Solidity. Rekt atribuyó la brecha a un error en el compilador (de tipo “zero-day”), es decir, el fallo existía en el software que convierte el código de los contratos en formato ejecutable por la máquina virtual de Ethereum.Una auditoría de contratos inteligentes que revisa el código fuente puede no detectar un error introducido por el compilador a nivel de bytecode, ya que los auditores suelen verificar la lógica del código escrito, no la salida que genera la máquina.
El registro CVE-2023-42441 en la Base Nacional de Vulnerabilidades (NIST) documenta una vulnerabilidad relacionada con Vyper que afecta las versiones desde 0.2.9 hasta las anteriores a 0.3.10; una corrección fue implementada en la versión 0.3.10. Este defecto se debe a que las variables de almacenamiento utilizadas como mecanismos de protección contra reentrancias no siempre se escriben de manera correcta antes de que se completen las llamadas externas, lo que permite que un contrato malicioso vuelva a ejecutarse de manera no secuencial. Se trata de un fallo a nivel de compilador, no de un error de lógica del propio contrato. Las implicaciones prácticas para los desarrolladores y auditores son significativas: los contratos compilados con una versión vulnerable de Vyper y que no se han actualizado siguen representando un riesgo, incluso si su código fuente es lógicamente correcto. Cualquier protocolo que haya utilizado pools de Vyper basados en ETH nativo antes de la versión del compilador corregida y que no haya realizado la migración correspondiente sigue estando expuesto a esta vulnerabilidad, un problema que afecta no solo a Curve, sino a cualquier proyecto que utilice versiones afectadas del compilador en entornos de producción. Curve desempeña un papel fundamental en la infraestructura de DeFi: sus pools de monedas estables son la base de diversas estrategias de rendimiento, mecanismos de garantía y rutas de operación automatizadas en plataformas y agregadores de préstamos.Cuando los grupos de recursos financieros se vacían o se ponen en pausa, los protocolos que dependen de los datos de precios de Curve, de la liquidez de Curve para los procesos de liquidación o de los tokens LP de Curve como garantía pueden enfrentarse a problemas que no fueron causados directamente por el ataque inicial. Los proveedores de liquidez en esos grupos que no se vaciaron directamente siguieron viéndose afectados de manera indirecta: por cambios en los precios, retrasos en los retiros y una aceleración de las pérdidas si la liquidez disminuía rápidamente. Los prestatarios que utilizaban tokens CRV o LP de Curve como garantía en plataformas de préstamos corrían el riesgo de liquidación si el precio de los tokens caía drásticamente. A fecha de la recopilación de datos, el precio de CRV es de 0,33631 dólares, con una capitalización de mercado de aproximadamente 532 millones de dólares, lo que representa una disminución significativa con respecto a su pico, debido a años de incertidumbre en el funcionamiento del protocolo; el incidente de julio de 2023 aceleró este proceso. El incidente es comparable, en términos estructurales, a otros importantes fallos en la infraestructura de DeFi, como se analiza en el estudio de la crisis de liquidez de Curve: las posiciones de deuda interconectadas y las dependencias entre los protocolos amplificaron los daños mucho más allá del vector inicial del ataque. El análisis del incidente en Bybit ofrece una perspectiva útil sobre cómo las pérdidas a nivel de intercambios se propagan en el ecosistema DeFi. ¿Cómo pueden los usuarios de DeFi evaluar los riesgos a nivel del compilador en sus posiciones financieras? El incidente con Curve/Vyper introdujo un tipo de riesgo que la mayoría de los usuarios de DeFi no revisan habitualmente: la versión del compilador utilizada para crear los contratos con los que interactúan. Las prácticas de diligencia debida habituales incluyen la auditoría del código, la reputación del equipo y la antigüedad del protocolo; sin embargo, el origen del compilador rara vez se muestra en las pantallas de información destinadas a los usuarios.Los siguientes controles son específicos para esta clase de vulnerabilidades y pueden verificarse sin herramientas especializadas.En primer lugar, compruebe si alguno de los pools o protocolos que utiliza revela públicamente la versión de su compilador en sus informes de auditoría o en su documentación de implementación. Los contratos Vyper compilados antes de la versión 0.3.10 con manejo nativo de ETH deben considerarse potencialmente vulnerables al problema de reentrancy descrito en CVE-2023-42441, a menos que el protocolo haya confirmado explícitamente una actualización o migración. En segundo lugar, verifique que el protocolo cuente con un canal activo de respuesta a incidentes, ya que la velocidad de comunicación durante el evento de julio de 2023 afectó la rapidez con la que los usuarios podían cerrar sus posiciones antes de que se agravaran los efectos secundarios.
En tercer lugar, analice sus dependencias en términos de activos colaterales. Si posee tokens LP de un pool Curve como garantía en un protocolo de préstamo, comprenda qué ocurrirá con su umbral de liquidación si el TVL (Total Value Locked) de ese pool disminuye drásticamente o si se suspenden los retiros. Esto no es una situación hipotética: el evento de julio de 2023 generó exactamente este escenario para los usuarios con posiciones apalancadas vinculadas a tokens de pools afectados. Las auditorías y los registros de seguridad anteriores no eliminan el riesgo asociado a los contratos inteligentes, especialmente cuando el punto de ataque se encuentra en el compilador y no en el código fuente del contrato en sí.
El “Número no resuelto”: por qué la cifra de 351,6 millones de dólares requiere una fuente fiable
Difundir una cifra de pérdidas cinco veces mayor que la cantidad documentada no es un simple problema de redondeo: afecta la percepción del riesgo, la forma en que el capital institucional evalúa la infraestructura DeFi y la forma en que los reguladores definen el perfil de seguridad de los protocolos de intercambio descentralizados.Los 69,3 millones de dólares documentados por Rekt ya constituyen un incidente de gran envergadura según cualquier criterio, lo que sitúa el ataque de Curve en julio de 2023 entre los mayores ataques de tipo DeFi basados en un único protocolo jamás registrados.
Si la cifra de 351,6 millones de dólares refleja un cálculo más amplio que incluye pérdidas indirectas, liquidaciones secundarias, una disminución del valor de mercado de CRV o el impacto acumulado en todo el ecosistema, dicha metodología debería indicarse de manera explícita junto con la cifra, junto con la fuente principal de dicha información. Sin esa aclaración, la cifra no constituye una información fáctica, sino una mera afirmación; tratarla como un hecho establecido es una tergiversación de los datos reales. Cualquier análisis posterior al ataque, informe de gobernanza o análisis en cadena que respalde este monto total sería una aportación importante al registro público de este incidente.
A fecha de la recopilación de datos, el Índice de Miedo y Codicia en el Mundo Criptográfico (Crypto Fear and Greed Index) indica un nivel de 51 (neutral), lo que representa un sentimiento de mercado que no refleja ni el pánico extremo de los días siguientes al ataque de julio de 2023 ni una señal clara de recuperación para CRV en particular. Con un valor de mercado de CRV de aproximadamente 532 millones de dólares y un precio de sus tokens de 0,33631 dólares, el protocolo funciona a una fracción de su valor máximo de 2021. Además, las vulnerabilidades existentes en los contratos desplegados siguen siendo un problema sin resolver en toda la industria, y el ataque de Curve las puso de manifiesto a gran escala por primera vez.
Preguntas frecuentes: El ataque a Curve/Vyper y lo que los usuarios deben saber
¿Perdió Curve mismo los 69,3 millones de dólares, o existe una cifra total más alta que haya sido verificada?
La cifra de 69,3 millones de dólares corresponde al informe de Rekt sobre el ataque del 30 de julio de 2023, que afectó a cuatro fondos de inversión. La cifra de 351,6 millones de dólares mencionada en algunos informes no cuenta con una fuente principal verificable en los datos disponibles.Los lectores deben tratar el número más alto como no confirmado hasta que un informe oficial sobre el incidente, un análisis en la cadena de bloques o una declaración oficial de Curve lo respalde.
¿Qué usuarios de DeFi estuvieron más expuestos?
Los proveedores de liquidez de los cuatro grupos directamente afectados por el ataque sufrieron las pérdidas más inmediatas. Los usuarios que tenían tokens LP de Curve como garantía en los protocolos de préstamo enfrentaron el riesgo de liquidación secundaria a medida que disminuía el valor de los grupos. Cualquier protocolo que enrutara transacciones o realizara liquidaciones a través de los grupos afectados por Curve experimentó fallos en la ejecución o resultados erróneos durante el período en que los grupos estuvieron comprometidos. Los usuarios de grupos de Curve no afectados sufrieron una exposición indirecta debido a la presión en los precios del CRV a nivel del mercado y a la disminución de la confianza en las estrategias de rentabilidad relacionadas con Curve.
¿Pueden los usuarios recuperar sus fondos después de un ataque de tipo DeFi?
La cuenta de Rekt indicó que algunos fondos habían sido devueltos en el momento de la publicación del informe, pero no se documentó ningún resultado final de compensación ni un monto total de recuperación en las pruebas disponibles. La recuperación de fondos en casos de ataques de DeFi depende de la intervención de expertos, las reservas del protocolo, las decisiones de gobernanza y las negociaciones con el atacante; ninguno de estos factores sigue un calendario predecible ni garantiza un resultado concreto. Los usuarios deben consultar los canales oficiales de gobernanza de Curve y los anuncios verificados para obtener actualizaciones sobre el estado de la compensación.
¿Cómo pueden los usuarios verificar si un protocolo depende de Curve?
La mayoría de los agregadores y protocolos de préstamo de DeFi publican sus listas de enrutamiento de liquidez y activos de garantía en su documentación o foros de gobernanza. Para los protocolos que utilizan Curve como fuente de liquidez u oráculo de precios, dicha dependencia suele ser revelada en informes de auditoría o notas de implementación.En la cadena (on-chain), se pueden buscar las interacciones de los contratos inteligentes del protocolo en Etherscan para identificar las llamadas a direcciones conocidas del pool Curve. Cualquier protocolo que liste los tokens LP de Curve como garantía aceptable o que utilice los precios del pool Curve en su lógica de oráculo (oracle) está indirectamente expuesto a incidentes relacionados con Curve. Para comprender mejor cómo las dependencias entre los protocolos DeFi generan riesgos sistémicos, el análisis de desplazamientos de liquidez a gran escala proporciona información relevante sobre los mecanismos de propagación de problemas entre protocolos interconectados.
¿Qué deberían aprender los desarrolladores de la vulnerabilidad del compilador Vyper?
La lección principal es que auditar el código fuente es necesario, pero no suficiente cuando el compilador introduce errores a nivel de bytecode. Los protocolos que utilizan Vyper deben verificar que sus contratos desplegados hayan sido compilados con la versión 0.3.10 o posterior, de acuerdo con la corrección descrita en CVE-2023-42441, o contar con un plan de migración documentado. En el caso específico de los pools nativos de ETH, el comportamiento de protección contra reentrancy (reentrancy guard) debe verificarse a nivel de bytecode, y no únicamente mediante la revisión del código fuente. Este incidente ha establecido que el origen del compilador debe incluirse en las listas de control de seguridad estándar de DeFi, junto con la auditoría y la gestión de las llaves administrativas.
Aviso de responsabilidad: Este artículo tiene únicamente fines informativos y no constituye asesoramiento financiero o de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos. Siempre realice su propia investigación antes de tomar decisiones.
