USPD stablecoin hack: $1 million stolen after hacker waited 78 days

【Cripto】El protocolo de stablecoin USPD fue hackeado recientemente, con una pérdida de aproximadamente 1 millón de dólares.

Este ataque fue bastante severo; el atacante empezó a prepararlo dos meses antes. Toda la operación se dividió en dos fases:

La primera fase fue el 16 de septiembre, cuando el hacker adelantó la transacción de inicialización del equipo del proyecto e introdujo un contrato proxy malicioso en el estabilizador de USPD, todo ello sin levantar sospechas. Al día siguiente (17 de septiembre), utilizó esta puerta trasera para otorgar privilegios especiales a su propio contrato. Luego vino una larga espera, exactamente 78 días, hasta que el 5 de diciembre lanzó el ataque de repente.

Las pérdidas concretas fueron el robo de 232 stETH y la acuñación, por parte del atacante, de 98 millones de tokens USPD. Este método de ataque, que consiste en manipular los datos de almacenamiento, indica que existía una grave vulnerabilidad en la gestión de permisos durante la fase de inicialización del contrato.

Tras dos meses de infiltración, el equipo del proyecto no se dio cuenta en absoluto. Este caso vuelve a demostrar la importancia de las auditorías de seguridad antes del despliegue de los contratos inteligentes, especialmente en aspectos clave como la lógica de inicialización y la asignación de permisos; cualquier descuido puede dejar una puerta trasera fatal.