Reserva de préstamos de More Markets drenada por $9.3 millones: Blockaid

Blockaid, una firma de análisis de seguridad en el ecosistema DeFi, ha revelado que un atacante logró drenar aproximadamente $9.3 millones en WFLOW desde la reserva de préstamos de la plataforma de liquidez More Markets. Según el informe, el atacante aprovechó un token de staking líquido emitido por Ankr y la modalidad E‑mode para sobreendeudarse y vaciar la reserva de fondos destinada a los préstamos.

More Markets es una plataforma de liquidez descentralizada que permite a los usuarios prestar y tomar prestado activos digitales, con un enfoque en tokens de alta liquidez y bajo riesgo. La reserva de préstamos de la plataforma contiene fondos en varios tokens, incluido WFLOW, el token nativo de la red Flow. Este activo se utiliza como colateral y como medio de pago de intereses dentro del protocolo. La pérdida de $9.3 millones representa una fracción significativa de la liquidez total de la plataforma, lo que podría afectar la capacidad de los usuarios para acceder a préstamos y la estabilidad general del protocolo.

El ataque se llevó a cabo mediante la utilización de un token de staking líquido de Ankr, una plataforma que permite a los usuarios obtener rendimientos sobre sus activos sin bloquearlos en un contrato de staking tradicional. El atacante combinó este token con la modalidad E‑mode, una característica de algunos protocolos de préstamos que permite a los usuarios tomar prestado más allá de su colateral original al aprovechar la alta correlación entre ciertos activos. Al combinar ambos mecanismos, el atacante pudo sobreendeudarse, es decir, tomar prestado más fondos de los que su colateral realmente respaldaba, y así vaciar la reserva de WFLOW.

Desde el punto de vista técnico, el atacante explotó una vulnerabilidad en la lógica de cálculo de colateral de More Markets. La plataforma no verificó adecuadamente la relación entre el valor del token de staking líquido de Ankr y el valor de WFLOW, lo que permitió que el atacante aumentara su posición de préstamo sin que el protocolo reconociera la falta de respaldo. Una vez que la posición alcanzó el límite de sobreendeudamiento, el protocolo liberó los fondos de la reserva para cubrir la deuda, resultando en la pérdida de $9.3 millones.

Este incidente subraya los riesgos inherentes a la integración de tokens de staking líquido y modos de préstamo avanzados como E‑mode en los protocolos DeFi. Los tokens de staking líquido, aunque atractivos por su rendimiento, pueden presentar una volatilidad y una correlación de precios que difieren de los tokens tradicionales, lo que dificulta la valoración precisa del colateral. Además, las modalidades de préstamo que permiten sobreendeudamiento pueden amplificar las pérdidas en caso de una valoración incorrecta. La comunidad DeFi ha visto casos similares, donde la falta de auditoría rigurosa y la dependencia de modelos de riesgo simplificados han llevado a pérdidas significativas.

En respuesta al ataque, Blockaid ha recomendado que More Markets realice una auditoría exhaustiva de su lógica de colateral y de la integración de tokens de staking líquido. Asimismo, se sugiere la implementación de límites de sobreendeudamiento más estrictos y la adopción de mecanismos de liquidación más rápidos. La plataforma también debería considerar la posibilidad de contar con seguros o fondos de reserva que cubran pérdidas inesperadas. Por su parte, Ankr deberá revisar la seguridad de sus tokens de staking líquido y la forma en que se integran en otros protocolos.

En conclusión, el caso de More Markets destaca la necesidad de una evaluación continua de los riesgos asociados con la innovación en DeFi. La combinación de tokens de staking líquido y modalidades de préstamo avanzadas puede ofrecer mayores rendimientos, pero también aumenta la exposición a vulnerabilidades técnicas y de valoración. Los protocolos deben equilibrar la innovación con la robustez de sus mecanismos de seguridad, asegurando que los usuarios y los fondos estén protegidos frente a ataques que exploten fallos de lógica y de valoración.