Mezo detalla el exploit de veBTC, el reembolso y la oferta de recuperación

Mezo publicó el informe técnico del ataque del 5 de octubre de 2026, que trasladó 37 posiciones veBTC de 36 carteras y sacó cerca de 5,52 BTC de la cadena. El proyecto afirma que corrigió la vulnerabilidad, reanudó la cadena y el puente, y devolverá los BTC perdidos con fondos propios del protocolo.

El caso importa más allá del monto porque muestra cómo dos patrones habituales pueden volverse peligrosos al combinarse. veBTC permite bloquear BTC y recibir un NFT que representa la posición y su poder de voto. El contrato repartía su lógica entre bibliotecas externas y admitía metatransacciones mediante un reenviador de confianza.

Cómo falló la identificación del remitente

El reenviador verificaba una firma fuera de cadena y añadía la dirección confirmada al final de calldata. El contrato leía los últimos 20 bytes. Al entrar en una biblioteca externa, el compilador creaba un nuevo búfer solo con los parámetros declarados, de modo que la dirección añadida no pasaba al nuevo marco.

El atacante preparó el campo de datos de la transferencia para que la biblioteca interpretara bytes controlados por él como remitente. Tomó posiciones desbloqueadas pero no canjeadas, puenteó los BTC a Ethereum y los convirtió en 174,61 ETH. El mercado puede seguirse mediante BTC al contado en OrangeX.com, pero el acceso de negociación no demuestra la seguridad de un contrato externo.

Respuesta, reembolso y condiciones

El ataque ocurrió entre las 18:54 y las 19:06 UTC del 5 de octubre. El equipo detectó anomalías a la mañana siguiente, declaró el incidente a las 09:04, pausó los retiros del puente 13 minutos después y detuvo la cadena a las 09:27. Tras localizar y corregir la falla, reabrió ambos sistemas a las 15:00.

Mezo deshabilitó las metatransacciones, que no tenían uso en producción, y revisó todas las funciones accesibles por la misma ruta de identificación. Otras tres exposiciones de acceso más limitadas quedaron cubiertas por el arreglo. Los usuarios recibirán BTC directamente en sus carteras actuales sin usar un sitio de recuperación.

El atacante puede devolver 4,415417121 BTC antes de las 23:59 UTC del 14 de octubre y conservar 1,103854280 BTC como recompensa del 20%. El resultado sigue pendiente. Las novedades están en Noticias Cripto de OrangeX.com y OrangeX.com Academy explica conceptos básicos. Prueba de Reservas de OrangeX.com es una herramienta de transparencia del exchange, no una auditoría del protocolo.

OrangeX.com Analysis

La lección principal es que componentes conocidos no garantizan una composición segura. El reenvío de firmas, la lectura de calldata y las bibliotecas son técnicas establecidas, pero su límite creó un fallo de autorización que no detectaron dos auditorías ni el programa de recompensas.

La respuesta rápida redujo pérdidas adicionales y promete un reembolso completo. Aun así, deben separarse los hechos confirmados—posiciones, monto, cronología y corrección—de compromisos futuros como completar los pagos, recuperar fondos y desplegar nuevos sistemas de vigilancia.