De aprovecharse de usuarios a ser hackeado: a bot de arbitraje le roban 1.000 ETH

A un bot desarrollado para aprovecharse de los fallos de arbitraje en diferentes plataformas de intercambio del ecosistema de Ethereum le fueron sustraídos más de 1.000 ETH por un hacker.  

El hecho ocurrió el día 28 de septiembre. El bot, denominado 0xbad, detectó una vulnerabilidad de liquidez en el exchange descentralizado (DEX) Uniswap. Según relata el desarrollador Robert Miller, una persona intentó realizar un intercambio de 1,85 millones en Compound USDC (cUSDC) por USD Coin (USDC), pero, debido a la poca liquidez que existía en ese momento, la persona solo terminó recibiendo USD 500.  

Esta falla fue de detectada por 0xbad, que aprovechó la liquidez excesiva que existía en otros exchanges. Como en Uniswap se vio reducido el precio del cUSDC muy por debajo de su paridad con el dólar, el bot logró tomar una ganancia final de más de 800 ETH. Para realizar exitosamente el arbitraje, 0xbad, aplicó un flashloan entre diversas plataformas de finanzas descentralizadas (DeFi), involucrando a Uniswap y Compound.  

Según escribe el portal Rekt, este tipo de prácticas están al borde de la ley. Ya que, si bien no se trata de ninguna estafa tipificada como delito, sí se aprovechan del desconocimiento de los usuarios sobre cómo funciona la liquidez en los DEX. Debido al volumen de una transacción, puede verse afectado el precio final del intercambio, como ocurrió con el caso de esta persona, de la cual el bot 0xbad se aprovechó.  

La alegría del desarrollador del bot duró poco 

Como cuenta Miller, la alegría duró muy poco, ya que una falla en el contrato inteligente del bot, le permitió a un hacker extraer de la wallet más de 1.100 ETH. El hacker transfirió todos los fondos a su wallet, la cual, según muestra Etherscan, actualmente se encuentra vacía.  

El equipo de desarrollo de 0xbad, no tardó en responder y mandó un mensaje a través de una transacción a la dirección del hacker, en el que “felicitan” al hacker por su proeza. Les exigen la devolución del dinero y le dicen que, si lo hace, lo considerrán como un “hacker de sombrero blanco”. Así se denomina a los hackers cuyo trabajo es descubrir vulnerabilidades para reforzar la seguridad de cualquier software.  

Los desarrolladores del bot aclararon que, en caso de una negativa por parte del hacker, tomarán represalias legales con “las autoridades competentes” contra este. Le ofrecieron el 20% del dinero sustraído como pago de recompensa por su “trabajo”, si devolvía el dinero.

El hacker no tardó en responder. Por el mismo medio, preguntó qué pasa con las personas que ellos han “jodido” aprovechándose de esas vulnerabilidades. Para regresar los fondos, el hacker exigió que se devolvieran todos los fondos “robados” a “personas normales” que han sido afectadas por este bot.