Robo de recompensas en AlpsCon por clave de prueba en lista blanca

El 18 de octubre de 2026, el pool de recompensas de AlpsCon AI Trade Hub, una plataforma de staking y recompensas en BNB Chain, fue vaciado por aproximadamente 152.000 dólares después de que un atacante combinara una lista blanca de staking que aún contenía una clave de prueba conocida públicamente con un fallo en la forma en que el nuevo contrato de recompensas del proyecto contabilizaba los depósitos anteriores.

Qué ocurrió

La lista blanca de AlpsCon para hacer staking y reclamar recompensas aún incluía la cuenta de prueba #0 por defecto de Hardhat/Anvil (0xf39f…2266), cuya clave privada está publicada en la documentación para desarrolladores y es conocida por cualquiera. Los registros on-chain muestran que la dirección se añadió en un registro por lotes el 24 de agosto de 2025 y permaneció allí cerca de 14 meses. Como la clave es pública, el atacante podía actuar como una cartera en la lista blanca a voluntad.

El segundo ingrediente fue un error de contabilidad. El nuevo contrato de recompensas de AlpsCon trataba un depósito hecho momentos antes en el antiguo contrato del hub como si hubiera existido desde el principio, y luego pagaba en su totalidad las recompensas "pasadas" correspondientes. El atacante encadenó ambos fallos:

1. Usó la clave de prueba pública para firmar una delegación EIP-7702, permitiendo que el código de ataque se ejecutara como la cartera de la lista blanca.
2. Tomó un préstamo relámpago de alrededor de 1,03 millones de USDC y compró tokens ALPS.
3. Hizo staking de los ALPS en el antiguo contrato del hub, que seguía aceptando depósitos.
4. El nuevo contrato de recompensas pagó unos 355.000 USDC, vaciando el pool principal de recompensas.
5. Deshizo el staking, vendió los ALPS, devolvió el préstamo relámpago y se marchó con unos 152.000 dólares.

Consecuencias

Todo el ataque se resolvió dentro de una única transacción (0x824b…5fc2). El desplegador retiró la cuenta de prueba de la lista blanca a las 11:40 UTC del 18 de octubre de 2026, unas cinco horas después del ataque, pero para entonces el pool de recompensas ya estaba vacío. En el momento de los primeros análisis públicos — señalados on-chain por Defimon y documentados en un informe comunitario — AlpsCon no había publicado una declaración oficial ni anunciado recuperación alguna de fondos. No se estableció la identidad del atacante; el botín quedó en carteras controladas por él.

Por qué importa

AlpsCon recuerda que los accesorios de prueba dejados en producción son claves vivas, no marcadores de posición. La cuenta por defecto de Hardhat es una de las claves privadas más conocidas del desarrollo en Ethereum, y su presencia en una lista blanca de recompensas convirtió una comodidad en una puerta abierta. El incidente también muestra cómo un atajo contable de apariencia inocua — acreditar un depósito reciente con recompensas históricas — se vuelve catastrófico en cuanto un atacante puede satisfacer el control de acceso gratis, aquí mediante una delegación EIP-7702 financiada por un préstamo relámpago. Se suma a una racha de pérdidas en BNB Chain de octubre de 2026 como 79th Vault, y recuerda los errores de contabilidad de recompensas y participaciones vistos en exploits de contratos inteligentes como UNCX Network: cuando las cuentas que acuñan recompensas pueden manipularse, ningún control de acceso nominal sirve si el propio control está mal configurado.