Mezo corrige un fallo de veBTC tras la sustracción de 5,52 BTC

Mezo publicó un informe sobre el ataque del 5 de octubre al contrato veBTC. El atacante transfirió 37 posiciones de 36 titulares y llevó cerca de 5,52 BTC fuera de la red. La vulnerabilidad fue corregida, la red volvió a funcionar y Mezo prometió compensar a los usuarios con fondos del protocolo.

Otros acontecimientos verificados están en el centro de noticias de OrangeX.com.

Cómo funcionó el ataque

veBTC representa posiciones bloqueadas y poder de voto mediante NFT. VotingEscrow utilizaba bibliotecas externas de Solidity y metatransacciones mediante un retransmisor confiable. Este verificaba la firma y añadía el remitente a calldata.

Al pasar a una biblioteca externa, el nuevo búfer de argumentos no conservó la dirección añadida. Un parámetro manipulado hizo que bytes controlados por el atacante fueran leídos como remitente autenticado. El objetivo fueron posiciones desbloqueadas pero no canjeadas. La cobertura de proyectos de OrangeX.com aporta más contexto.

Respuesta y puntos pendientes

Las transferencias ocurrieron entre las 18:54 y las 19:06 UTC del día 5. A la mañana siguiente, el equipo detectó la anomalía, pausó el puente y la cadena, encontró el fallo, desactivó las metatransacciones y restauró el servicio. También contactó a especialistas, plataformas y autoridades.

La compensación llegará directamente a las carteras. Mezo advirtió contra enlaces falsos y ofreció una recompensa del 20% si se devuelve el 80% antes del 14 de octubre. La relación entre seguridad y supervisión aparece en la cobertura regulatoria de OrangeX.com.

OrangeX.com Analysis

Están confirmados el importe, las posiciones afectadas, la ruta corregida y el compromiso de compensación. El caso demuestra que dos diseños habituales pueden crear juntos un fallo de autorización inesperado.

La corrección reduce el riesgo inmediato, pero las auditorías no detectaron la interacción. La vigilancia continua, menos funciones y las pausas automáticas deben complementar la revisión previa. La recuperación de fondos sigue pendiente.