Un whitehat libera 2 millones de USD bloqueados durante 9 años en una ICO de Ethereum fallida

Un investigador en seguridad, actuando como whitehat (hacker ético), logró liberar 1 003,62 ETH, equivalente a aproximadamente 2 millones de dólares estadounidenses, bloqueados desde 2016 en un contrato inteligente fallido vinculado a una ICO en Ethereum. Esta operación técnica resalta los riesgos persistentes de los *smart contracts* no auditados y la importancia de los mecanismos de recuperación de fondos en el ecosistema blockchain. Ethereum, con una capitalización de 267,58 mil millones de dólares y un puntaje CryptoScore de 76/100, sigue siendo la blockchain dominante para las recaudaciones de fondos, a pesar del surgimiento de alternativas como Solana o Base. Qué pasó El contrato inteligente fallido databa de 2016, una época en la que los auditorías de seguridad eran menos sistemáticas que hoy. El *whitehat* explotó una vulnerabilidad en el mecanismo de time-lock del contrato para forzar el desbloqueo de los fondos. Esta técnica, comúnmente utilizada para recuperaciones de este tipo, permitió recuperar 1 003,62 ETH, transferidos luego a un *multisig* seguro. Ningún fondo se perdió, pero el incidente recuerda los riesgos inherentes a los contratos inteligentes, como lo demuestra el congelamiento de 12,6 millones de dólares en USDC por parte de Circle en mayo de 2025, tras una investigación por un hack. Por qué importa Las ICO (Initial Coin Offering) permiten a los inversores recibir tokens a cambio de criptomonedas como el ETH. Los fondos suelen estar bloqueados en un contrato inteligente hasta que se cumplan condiciones predeterminadas. Sin embargo, si el contrato contiene una falla, como un reentrancy bug o un *time-lock* defectuoso, los fondos pueden volverse inaccesibles. En este caso específico, el exploit técnico permitió desbloquear los fondos sin pérdidas, pero subraya la centralización parcial de los mecanismos de recuperación, que suelen depender de la voluntad de los desarrolladores o de los *whitehats*. En el mercado, el incidente no tuvo un impacto directo en el precio del ETH, que se mantuvo estable alrededor de 3 600 dólares. Sin embargo, podría aumentar la demanda de auditorías externas, como las ofrecidas por CertiK, que auditó a Hyperliquid con un puntaje de 49/100. Los protocolos DeFi, como Morpho Blue o Nest AMM, podrían beneficiarse de una mayor conciencia sobre la seguridad, pero también enfrentar una desconfianza temporal hacia los contratos no auditados. Los reguladores, especialmente en Europa con MiCA, podrían utilizar este incidente para justificar exigencias más estrictas en materia de auditorías y transparencia para las recaudaciones de fondos cripto. Riesgos y limitaciones Centralización de las recuperaciones : Los mecanismos de recuperación dependen a menudo de *whitehats* o desarrolladores, introduciendo una dependencia centralizada en un ecosistema que debería ser descentralizado. Fallas residuales : Incluso después de la recuperación, los contratos fallidos pueden contener otras vulnerabilidades no detectadas, exponiendo a los usuarios a riesgos futuros. Falta de transparencia : La fuente no especifica si la ICO fallida estaba vinculada a un proyecto conocido o si los fondos recuperados pertenecían a inversores individuales o institucionales. Qué vigilar Una declaración de los auditores, como CertiK, sobre las lecciones aprendidas de este incidente podría influir en las prácticas de seguridad en la industria. Además, proyectos como OpenZeppelin o Immunefi podrían desarrollar soluciones automatizadas para las recuperaciones de fondos, reduciendo así la dependencia de los *whitehats*.