Reentrada con token falso en BurgerSwap

El 28 de mayo de 2021, el AMM de BNB Chain BurgerSwap perdió aproximadamente 7,2 millones de dólares en un ataque de reentrada financiado por préstamo flash. El enrutamiento de swaps de BurgerSwap no validaba los tokens en un path de swap proporcionado por el usuario, permitiendo al atacante insertar un token falso malicioso cuya lógica de transferencia re-entraba en el pool en medio del swap y drenaba reservas repetidamente.

Qué ocurrió

BurgerSwap era un AMM estilo Uniswap en BSC. Su enrutamiento de swap aceptaba un path proporcionado por el usuario de direcciones de tokens a través de los cuales operar. El router no comprobaba que los tokens del path fueran legítimos — simplemente ejecutaba transferencias a lo largo del path.

El ataque encadenó un token falso, un préstamo flash y reentrada:

1. Desplegó un token falso cuyo transfer/transferFrom contenía un callback a código controlado por el atacante.
2. Tomó WBNB prestado por flash para financiar la operación.
3. Inició un swap a través de un path que incluía el token falso.
4. Cuando el router llamó a la función de transferencia del token falso en medio del swap, el callback re-entró en la lógica de swap de BurgerSwap antes de que la contabilidad del primer swap se hubiera asentado.
5. Las llamadas re-entrantes extrajeron reservas reales (WBNB, BURGER y otros tokens) contra saldos internos obsoletos.
6. Repitió el bucle, luego devolvió el préstamo flash y blanqueó los fondos.

Total drenado: aproximadamente $7,2M en múltiples pools de BurgerSwap.

Consecuencias

• BurgerSwap pausó los contratos afectados y envió parches añadiendo validación de path de tokens y guards de reentrada.
• La posición del protocolo en BSC se vio significativamente dañada; nunca recuperó su posición previa al incidente.
• Sin recuperación pública; los fondos fueron blanqueados a través de rutas de mezclado de BSC.

Por qué importa

BurgerSwap es uno de los incidentes tempranos de reentrada en BSC en el explosivo crecimiento DeFi de Binance Smart Chain a mediados de 2021. Combinó dos de las clases de bug DeFi más repetidas:

1. Paths de tokens proporcionados por el usuario sin validar — el patrón "dirección confiable desde llamador no confiable" de Pickle Finance / Exactly Protocol.
2. Protección contra reentrada faltante — el linaje de The DAO / Cream que la industria ha estado reaprendiendo desde 2016.

La explosión DeFi de BSC de 2021 produjo un cluster denso de estos incidentes (Spartan Protocol, PancakeBunny, BurgerSwap, Belt Finance) con semanas de diferencia entre sí — porque el rápido crecimiento de la cadena atrajo forks de envío rápido que no habían interiorizado las lecciones de seguridad que el DeFi de Ethereum ya había pagado. BurgerSwap es una entrada representativa en esa oleada: una nueva cadena reaprendiendo independientemente, a expensas del usuario, las vulnerabilidades exactas que el ecosistema más antiguo ya había catalogado.