Exploit de acuñación de participaciones en bóvedas de ACryptoS vía depositMulti

El 8 de noviembre de 2026, ACryptoS, un agregador de rendimiento DeFi multicadena, fue drenado por aproximadamente 665.000 $ cuando un atacante aprovechó la falta de una verificación de entrada en la lógica de depósito de sus bóvedas, saqueando 77 de 126 bóvedas en cinco redes.

Qué ocurrió

El fallo residía en depositMulti(uint256[] amounts, uint256 minShares), que nunca comprobaba que la longitud del array amounts coincidiera con el número de tokens de la bóveda. Pasar un array de un solo elemento a una bóveda de liquidez concentrada de dos tokens hacía que el depósito se valorara usando solo token0 e ignorando las tenencias de token1, de modo que un depósito minúsculo acuñaba la mayor parte de las participaciones de la bóveda. withdrawMulti luego canjeaba esas participaciones contra ambos activos subyacentes, extrayendo la valoración errónea. En un fork de Polygon, un depósito de 10 USDC con un array de un elemento acuñó el 66,84 % del suministro de participaciones, frente a cerca del 0,01 % con un array correctamente dimensionado. La campaña se desarrolló de 02:02 a 16:22 UTC en Arbitrum (~230.000 $), BNB Chain (~191.000 $), Polygon (~135.000 $), Base (~70.000 $) y Optimism (~40.000 $); las bóvedas de Linea quedaron intactas. Los investigadores de SlowMist contaron 135 direcciones atacantes y alrededor de 1.000 depósitos de exploit.

Consecuencias

ACryptoS deshabilitó los depósitos en todas las bóvedas antes de las 16:40 UTC —cerrando la primera cadena en 80 minutos tras contactar con el desarrollador y todas las cadenas en unas 2,5 horas mediante actualizaciones de beacon por bóveda— mientras dejaba abiertos los retiros. El equipo dijo que descontinuaría el protocolo sin relanzamiento previsto, instando a los usuarios a retirar los fondos restantes. La mayor parte del botín se cambió a ETH, WETH o WBNB y se movió por puentes, dejando menos de 1.000 $ en stablecoins congelables; el proyecto quemó las participaciones de un explotador en una bóveda de Base para preservar unos 6.187 USDbC para los depositantes. No se pudo confirmar en los propios comunicados del proyecto una supuesta recompensa white-hat del 10 %, y no se devolvieron fondos.

Por qué importa

ACryptoS es un error de contabilidad de participaciones de manual: como los clásicos ataques de primer depósito e inflación de ERC-4626, convirtió la propia matemática de acuñación de participaciones de una bóveda en un drenaje, sin necesidad de oráculo de precios ni préstamo flash. La omisión de una sola línea —no verificar nunca la longitud del array frente al número de tokens— refleja cómo las pequeñas brechas de validación de entradas siguen produciendo pérdidas desproporcionadas en DeFi, en eco de otros fallos recientes de contratos inteligentes como TENDRIL y UNCX Network. También subraya que la amplitud, no la profundidad, define el riesgo multicadena: un único fallo de contrato compartido permitió que un solo error se propagara en cascada por cinco redes y 77 bóvedas a la vez, y un protocolo infrafinanciado y mantenido por voluntarios apenas tuvo otra opción que liquidarse en lugar de resarcir a los usuarios.