Exploit de retiros a cero en el staking de b14g

El 31 de octubre de 2026, b14g — un protocolo de restaking y rendimiento construido sobre Core y Babylon — fue drenado de aproximadamente 97 millones de CORE, por un valor de unos 1,47 millones de dólares al precio previo al ataque, después de que un atacante explotara la forma en que el protocolo reenviaba las solicitudes de retiro al sistema de staking de Core. No hubo clave robada ni manipulación de oráculo: la pérdida se debió a un fallo lógico de contrato inteligente desencadenado por un retiro de cero tokens.

Qué ocurrió

A partir de las 09:29 UTC, el atacante envió 99 solicitudes de retiro de valor cero contra posiciones de staking que nunca había financiado, según el análisis de Bitquery. El contrato de staking de Core, según los informes, interpreta un retiro de cero tokens como una orden de liberar el saldo stakeado completo, y el contrato de b14g reenvió las solicitudes malformadas directamente. En una sola transacción el atacante drenó 91 posiciones de staking, reuniendo 97.045.563 CORE en total. b14g pausó los contratos afectados a las 10:35 UTC, unos 66 minutos después, pero en esa ventana el atacante ya había enrutado unos 23 millones de CORE a través de direcciones nuevas. Core DAO subrayó que su capa base nunca fue comprometida: el consenso, los validadores y el CORE stakeado directamente con validadores operaron con normalidad, y el Bitcoin stakeado a través del protocolo permaneció bloqueado por tiempo e intacto — el fallo vivía por completo en la capa de integración de b14g.

Consecuencias

La recuperación fue inusualmente sustancial para un exploit de DeFi. El 2 de noviembre, Core ejecutó un hard fork que movió 68.146.177,22 CORE — alrededor del 70% del total robado — desde tres direcciones controladas por el atacante hacia una dirección de recuperación; Core DAO subrayó que el ajuste de estado único no revirtió transacciones, no acuñó tokens ni cambió el suministro total de CORE. Por separado, b14g informó de que socios de exchange habían congelado unos 9 millones de CORE vinculados al atacante, con fondos rastreados a través de intermediarios ligados a Bybit, Gate.io y MEXC. Un mensaje firmado como «b14g Team» ofreció después al atacante una recompensa del 10% por la devolución voluntaria del resto, fijando un plazo hasta el 6 de noviembre. Un post-mortem completo y un plan de compensación a usuarios seguían pendientes en el momento del informe.

Por qué importa

El exploit de b14g es un ejemplo contundente de una brecha de confianza en la componibilidad: un protocolo base de apariencia segura (el sistema de staking de Core) se comportó exactamente como fue diseñado, pero una integración construida encima reenvió una entrada de caso límite — un retiro de cantidad cero — que desbloqueó saldos que el llamante nunca poseyó. Recuerda a otros fallos lógicos de restaking y vaults como KelpDAO y Premia, donde el dinero se perdió no por criptografía rota sino por una suposición no verificada en el límite de un contrato. El episodio también demuestra, de forma poco habitual, que una L1 puede recuperar la mayoría de los fondos robados mediante un hard fork coordinado cuando el botín permanece inactivo en wallets rastreables.