Hackeo de Poly Network: el ladrón que devolvió 610 millones

¿Qué pasó con Poly Network? El 10 de agosto de 2021, un hacker anónimo aprovechó una falla en Poly Network, un protocolo para mover tokens entre blockchains, y se llevó más de 610 millones de dólares en cripto en Ethereum, BNB Chain y Polygon: en ese momento, el mayor robo de las finanzas descentralizadas. En dos semanas, el hacker devolvió prácticamente todo; solo unos 33 millones de dólares en USDT quedaron congelados por Tether. Poly Network apodó al hacker "Mr. White Hat" y le ofreció una recompensa de 500.000 dólares y un puesto de asesor jefe de seguridad. A octubre de 2026, nadie ha sido acusado.

La mayoría de los ladrones evita hablar con sus víctimas. Este organizó una sesión pública de preguntas y respuestas, escrita en transacciones de la blockchain para que todo el mundo la leyera.

¿Cómo funcionó el ataque?#

Poly Network era un puente entre muchas blockchains. En cada cadena tenía contratos que guardaban los tokens de los usuarios. Los retiros los aprobaba una pequeña lista de firmantes de confianza llamados keepers (guardianes): si los guardianes confirmaban "esta persona bloqueó tokens en la cadena A", el contrato de la cadena B pagaba.

1. Un contrato administrador aceptaba mensajes de otras cadenas y podía ejecutar casi cualquier función que el mensaje pidiera.
2. Ese mismo contrato administrador tenía permiso para cambiar la lista de guardianes.
3. El atacante preparó un mensaje que hizo que el administrador llamara a la función "cambiar guardianes", y reemplazó al guardián real por su propia llave.
4. Ahora el guardián era el atacante. Aprobó retiros a su favor en varias cadenas, uno tras otro.

En resumen: el atacante no robó las llaves de la bóveda. Convenció a la bóveda de aceptar su llave como la oficial. Bastó un permiso mal limitado en un contrato inteligente.

¿Por qué el hacker devolvió el dinero?#

En pocas horas, al atacante se le empezó a complicar todo:

• Todo estaba a la vista. Cada movimiento de las monedas era público en las blockchains. Exchanges y analistas vigilaban las direcciones.
• Congelamientos. Tether congeló unos 33 millones de dólares en USDT, porque USDT es una stablecoin controlada de forma centralizada. Otros proyectos y exchanges prometieron bloquear las direcciones.
• Rastros. La empresa de seguridad SlowMist dijo haber encontrado el correo electrónico, la dirección IP y las huellas del dispositivo del atacante.
• Un llamado público. Poly Network publicó una carta abierta al hacker pidiéndole que devolviera el dinero.

El hacker respondió con mensajes escritos en transacciones. Dijo que lo había hecho "por diversión", que "el hackeo cross-chain está de moda" y que "no le interesaba mucho el dinero". Desde el 11 de agosto, las monedas empezaron a volver. La última parte quedó en una billetera que necesitaba tanto la llave de Poly Network como la del hacker; el 23 de agosto, el hacker publicó su llave y Poly Network recuperó el control.

En pocos días, Poly Network pasó de "te vamos a perseguir" a llamar al atacante "Mr. White Hat", ofrecerle una recompensa de 500.000 dólares y el puesto de asesor jefe de seguridad. El hacker dijo que no aceptaría la recompensa. No se sabe si alguna vez empezó en el puesto, lo cual, para un asesor de seguridad, es una forma curiosa de discreción.

Cronología#

Otros hackeos que terminaron en devolución#

Poly Network no es el único caso. En marzo de 2023, el protocolo de préstamos Euler Finance perdió unos 197 millones de dólares en un ataque con flash loan. Euler le ofreció al atacante un trato en la propia blockchain y luego una recompensa de un millón de dólares por información que llevara hasta él. A principios de abril de 2023, el atacante había devuelto todos los fondos recuperables y pidió disculpas.

Estos finales felices llegan a los titulares justamente porque son raros. En la mayoría de los hackeos, como en los hackeos de Ronin y Bybit, el dinero nunca vuelve a aparecer.

Señales de alerta que podías ver#

• Un protocolo que guarda sumas enormes en muchas cadenas. Los puentes cross-chain han sido el blanco más común de los grandes robos. Más cadenas significan más código y más puertas de entrada.
• Pocos firmantes de confianza. Si una pequeña lista de guardianes puede aprobar cualquier retiro, quien se apodera de esa lista se apodera de todo.
• Crecimiento rápido, poca revisión. En 2021 el dinero entraba a los nuevos protocolos DeFi más rápido de lo que los auditores podían revisarlos.

Mitos comunes#

• "Gracias a la transparencia de la blockchain, siempre atrapan a los ladrones." Hace más difícil cobrar, pero muchos hackers lavan las monedas con éxito. Aquí la transparencia ayudó; no garantiza nada.
• "Si el hacker devuelve el dinero, no fue un delito." Tomar dinero sin permiso sigue siendo un robo. Poly Network decidió no presentar cargos: fue su decisión, no la de la ley.
• "Los hackeos devueltos demuestran que DeFi es seguro." Al contrario: muestran cómo un solo error puede poner en riesgo cientos de millones en minutos.

Fuentes#

• SlowMist: La causa raíz del hackeo de Poly Network (se abre en una pestaña nueva)
• CNBC: El hacker del robo de 600 millones de dólares a Poly Network dice que lo hizo "por diversión" (2021) (se abre en una pestaña nueva)
• CoinDesk: El hacker de Poly Network publica la llave de los 141 millones de dólares restantes (2021) (se abre en una pestaña nueva)
• Chainalysis: El ataque con flash loan a Euler Finance (se abre en una pestaña nueva)