La Flow Foundation hizo público el martes un informe técnico posterior al incidente en el que explica una brecha de seguridad a nivel de protocolo detectada el pasado 27 de diciembre. El ataque permitió a un actor malicioso generar tokens de forma fraudulenta dentro de la red, lo que provocó pérdidas confirmadas de unos 3,9 millones de dólares antes de que el problema fuera controlado.
De acuerdo con el análisis, el atacante aprovechó una vulnerabilidad en el entorno de ejecución de Cadence, el lenguaje de programación de Flow. Este fallo hacía posible que determinados activos se duplicaran en lugar de emitirse correctamente, eludiendo los mecanismos de control de suministro sin necesidad de acceder a los saldos existentes de los usuarios ni consumirlos. Tras identificar las primeras transacciones sospechosas, los validadores actuaron de forma coordinada y detuvieron la red en un plazo de seis horas, mientras que los exchanges colaboradores bloquearon la mayor parte de los tokens falsificados antes de que pudieran venderse en el mercado.
La fundación explicó que esta interrupción temporal convirtió la red en un entorno de solo lectura, con el objetivo de cerrar posibles vías de salida y frenar nuevas duplicaciones mientras se analizaba el origen del problema. Dos días más tarde, la actividad se restableció bajo un esquema de “recuperación aislada”, que permitió conservar el historial de transacciones legítimas y habilitó un proceso, aprobado por la gobernanza, para recuperar y eliminar de forma definitiva los activos creados de manera fraudulenta.
