El protocolo cross-chain Allbridge ha suspendido sus operaciones después de que un ataque de préstamo flash (flash loan) drenara aproximadamente $1.65 millones de sus pools de liquidez. El exploit, que ocurrió en la red Solana, utilizó un préstamo flash de $1.12 millones del protocolo de préstamos Kamino para manipular los balances de los pools y retirar activos a tasas de cambio favorables.
Cómo funcionó el exploit
El atacante tomó un préstamo flash de Kamino —un préstamo que debe devolverse en la misma transacción— y usó esos fondos para alterar artificialmente el equilibrio de los pools de liquidez de Allbridge. Al inflar temporalmente un lado de un pool, el atacante pudo retirar una cantidad mayor de otro activo a una tasa distorsionada. Después del retiro, el préstamo flash fue devuelto, dejando los pools de Allbridge con un déficit de aproximadamente $1.65 millones.
Los préstamos flash son una herramienta común en DeFi, pero se vuelven peligrosos cuando se combinan con manipulación de precios o debilidades en los oráculos. En este caso, el atacante explotó la forma en que los pools de Allbridge calculan las tasas de cambio basándose en sus saldos internos de tokens.
Respuesta de Allbridge
Allbridge confirmó el incidente en redes sociales y dijo que ha pausado todas las operaciones para investigar. El equipo indicó que está trabajando en un plan para recuperar los fondos y compartirá detalles una vez que la investigación esté completa. Se ha recomendado a los usuarios no depositar ni retirar hasta nuevo aviso.
El protocolo no ha anunciado un cronograma para reanudar los servicios. No está claro si los fondos robados podrán recuperarse o si Allbridge compensará a los usuarios afectados.
El papel de Kamino
Kamino, el protocolo de préstamos que proporcionó el préstamo flash, no fue atacado directamente. Los préstamos flash son una característica estándar en muchas plataformas DeFi y a menudo se utilizan para arbitraje legítimo y refinanciamiento. Sin embargo, también permiten ataques cuando se combinan con vulnerabilidades en otros protocolos. Kamino no ha comentado sobre el incidente.
El exploit resalta un riesgo persistente en las finanzas descentralizadas: incluso cuando los protocolos individuales son seguros, la componibilidad de DeFi puede crear superficies de ataque inesperadas. Allbridge es el último de una serie de puentes cross-chain y protocolos de liquidez que han sufrido un ataque de préstamo flash.
Allbridge no ha dicho si implementará nuevas salvaguardas o cambiará su mecanismo de precios. Se espera que el equipo publique un informe post-mortem en los próximos días.
