Hackeo de Validadores de Solana Expone a Cinco Operadores y $135,000 en Criptomonedas Lavadas a Través de Tornado Cash

Incidente de Seguridad en Solana

Una violación de seguridad coordinada en Solana comprometió las credenciales asociadas con cinco validadores, permitiendo a un atacante robar aproximadamente $135,000 en criptomonedas antes de mover los fondos a través de blockchains hacia Tornado Cash.

Detalles del Ataque

Según la investigación de Bitquery del 29 de octubre, el atacante controlaba claves operativas vinculadas a Solflare, Blockdaemon, Astraeus, un validador no identificado y un validador inactivo de Slow Ventures. El incidente ocurrió entre el 26 y el 27 de octubre, y los investigadores rastrearon 1,343 SOL en activos robados y 57 ETH depositados en Tornado Cash.

A diferencia de la anterior violación de staking de $41 millones de SwissBorg, el último ataque no drenó los SOL delegados de los clientes. Bitquery encontró que cuatro validadores activos transfirieron aproximadamente 1,188 SOL en activos a una billetera controlada por el atacante en solo tres minutos.

Impacto en los Validadores

La criptomoneda robada incluía 637 tokens JitoSOL, valorados en aproximadamente 833 SOL, que representaban la mayor parte de las pérdidas. Posteriormente, el atacante vació las cuentas de votación de los validadores, impidiendo que los operadores afectados pagaran las tarifas de participación requeridas.

Cuatro validadores dejaron de votar simultáneamente el 27 de octubre, interrumpiendo las recompensas de staking hasta que los usuarios afectados pudieran mover su participación. Esta interrupción destaca vulnerabilidades operativas adicionales en el ecosistema de validadores de Solana, donde la consolidación de operadores ya ha suscitado preocupaciones sobre la descentralización.

Investigación y Hallazgos

Sin embargo, Bitquery no encontró evidencia de que las billeteras del atacante recibieran fondos directamente de las cuentas de participación de los clientes. Tras los retiros iniciales, el atacante convirtió JitoSOL en SOL antes de transferir fondos a Ethereum a través de Bridgers y Chainflip.

Bitquery rastreó aproximadamente 56.6 ETH en una billetera receptora, con los primeros depósitos en Tornado Cash ocurriendo menos de nueve minutos después de su pago inicial por puente. Para el 28 de octubre, los investigadores identificaron 57 ETH depositados en el protocolo de privacidad.

Las transferencias se asemejan a operaciones anteriores de lavado de criptomonedas que involucraban a Tornado Cash, donde los atacantes mueven activos a través de redes para complicar el rastreo. Un patrón similar de cruce de cadenas apareció durante la violación del intercambio CoinDCX, aunque no hay evidencia que conecte los dos incidentes.

Conclusiones de Blockdaemon

Los investigadores también observaron que el atacante retiraba automáticamente un depósito de recuperación de 1 SOL en cinco segundos. La actualización forense de Blockdaemon del 30 de octubre identificó credenciales históricas generadas entre 2020 y 2022 como la fuente de su exposición.

La compañía indicó que el material clave afectado provenía de una copia local en el dispositivo corporativo de un ex empleado, sin evidencia de intrusión en su infraestructura actual de validadores. Sus hallazgos distinguen esta violación de los exploits de permisos de billetera que apuntan a usuarios individuales de Solana.

Blockdaemon enfatizó que los activos delegados permanecieron seguros, aunque los validadores afectados requerían reemplazo para restaurar las recompensas. El incidente también refuerza las preocupaciones planteadas por las anteriores violaciones de billeteras del tesoro de Solana, donde la seguridad de las credenciales operativas demostró ser crítica.