Hackean Edel Finance y extraen 305.000 dólares
El equipo de Edel Finance confirmó el 1 de julio un hackeo en su módulo de préstamos, Edel Lending V1, que afectó el precio de las acciones tokenizadas de Google. El ataque dejó al protocolo con una deuda incobrable de 403.000 dólares, de los cuales el atacante obtuvo una ganancia neta estimada en 305.000 dólares. Esta deuda corresponde a fondos prestados que no pueden ser recuperados, ya que el atacante utilizó como garantía un activo cuyo valor había inflado de forma artificial.
Pese al incidente, el token nativo de la plataforma, EDEL, registró un aumento superior al 7% en las últimas 24 horas y acumula una subida cercana al 18% en la semana. Edel Finance opera principalmente en la red Canton y en cadenas compatibles con la Máquina Virtual de Ethereum (EVM).
Mecánica del exploit y manipulación de precios
Según las firmas de seguridad GoPlus Security y Blockaid, el ataque se ejecutó a nivel de los contratos inteligentes mediante el uso de un flash loan (préstamo instantáneo que se solicita y devuelve en la misma transacción). La maniobra se desarrolló de la siguiente manera:
- El atacante desplegó contratos propios financiados con el crédito instantáneo.
- Mediante suministros y préstamos repetidos dentro de la transacción, manipuló la tasa de cambio entre GOOGLx (el token que sigue el precio de Google) y wGOOGLx (su versión envuelta adaptada para circular como garantía en Edel Lending).
- Esta manipulación elevó el valor de wGOOGLx a 78 veces su valor real.
- Con esta garantía artificialmente inflada, el atacante solicitó préstamos por valor de 384.215 dólares en USDC, además de acciones tokenizadas de los índices S&P 500 y Nasdaq-100, y de empresas como Strategy, NVIDIA y Tesla.
Respuesta de la plataforma y próximos pasos
El equipo de Edel Finance pausó de inmediato todos los contratos de la versión V1 tras detectar el ataque, preservando los registros para determinar los balances afectados. La empresa emitió las siguientes declaraciones y medidas:
- Protección al usuario: Afirmaron que ningún depositante sufrirá pérdidas y que el equipo interno absorberá la deuda incobrable para restituir los balances de forma equivalente al monto original.
- Oferta whitehat: Extendieron una oferta de recompensa al atacante a cambio de la devolución de los fondos restantes. Sin embargo, Blockaid comprobó que los fondos sustraídos ya fueron trasladados a Tornado Cash, un protocolo que mezcla las transacciones y dificulta su rastreo.
- Futuro del protocolo: Edel Finance anunció el desarrollo de Edel Lending V2, una nueva versión con una arquitectura de oráculo (el mecanismo que provee los precios de mercado) rediseñada para evitar este tipo de manipulación de tasas.
La plataforma no ha especificado en qué consiste el rediseño técnico, ni ha fijado una fecha para la disponibilidad de la V2 ni para la restitución de los balances afectados.
