Bug de mint en el puente de ChainSwap

El 11 de julio de 2021, el puente cross-chain ChainSwap que vinculaba Ethereum y Binance Smart Chain fue explotado por aproximadamente 4 millones de dólares en más de 20 tokens diferentes. El atacante explotó una vulnerabilidad en el contrato inteligente de ChainSwap para acuñar tokens arbitrarios en BSC para cualquier proyecto que usara el puente. La mayoría de tokens afectados cayeron 95% o más en minutos conforme el suministro recién acuñado llegaba a PancakeSwap.

Qué ocurrió

ChainSwap operaba como los rieles cross-chain para docenas de proyectos DeFi de pequeña capitalización que querían interoperabilidad Ethereum-BSC sin construir sus propios puentes. Los proyectos desplegaban contratos gestionados por ChainSwap en ambas cadenas; el puente manejaba la acuñación y quemado de tokens durante las transferencias cross-chain.

La vulnerabilidad vivía en la lógica de autorización de mint de ChainSwap en el lado de BSC. El contrato debía verificar que cada solicitud de mint hubiera sido autorizada por una quema correspondiente en el lado de Ethereum. La verificación era inadecuada — el atacante encontró una ruta a través de la cual podía enviar solicitudes de mint sin quemas correspondientes y que fueran aceptadas.

Con control sobre la función mint para los tokens puenteados de cada proyecto, el atacante:

1. Acuñó cantidades arbitrarias del token del lado BSC de cada proyecto a su propia dirección.
2. Vendió los tokens recién acuñados en PancakeSwap, que era el principal lugar de liquidez para la mayoría de estos tokens de long-tail.
3. Estrelló el precio de cada token un 95% o más conforme el suministro inflado abrumaba la liquidez disponible.

Los proyectos afectados incluyeron:

• Wilder World (WILD)
• Antimatter (MATTER)
• Option Room (ROOM)
• Umbrella Network (UMB)
• Blank, Nord Finance (NORD), Razor Network (RAZOR)
• Peri, Unido (UDO), Oro, Vortex (VTX)
• Corra (CORA), ROCKS, Dafi, Unifarm (UFARM)
• El propio token nativo de ChainSwap ASAP

Consecuencias

• ChainSwap pausó el puente y comenzó a coordinarse con los proyectos afectados en planes de recuperación.
• La mayoría de los proyectos afectados lanzaron migraciones de tokens a nuevos contratos y distribuyeron por snapshot nuevos tokens a los titulares previos al incidente.
• La recuperación fue desigual — algunos proyectos salieron estables, otros nunca recuperaron sus posiciones de mercado previas al incidente.
• Los fondos robados fueron blanqueados a través de Tornado Cash y servicios similares.

Por qué importa

ChainSwap es uno de los casos más claros de cómo un único compromiso de infraestructura compartida cascadea a través de todo un ecosistema de proyectos dependientes. Ninguno de los 20+ proyectos afectados tenía un bug de contrato inteligente propio — todos simplemente habían confiado en el puente de ChainSwap para manejar correctamente el mint/burn cross-chain. Cuando ChainSwap se rompió, cada proyecto que lo usaba sufrió un daño económico casi idéntico.

Las lecciones estructurales:

1. La selección de puente es una decisión de seguridad a nivel de proyecto, no solo una elección operativa. El puente hereda confianza sobre el suministro de tokens puenteados del proyecto en cada cadena conectada.
2. La autoridad de mint compartida es un único punto de fallo para toda la base de usuarios de cada token dependiente. Los proyectos que confiaron en la autorización de ChainSwap deberían haber monitorizado el comportamiento del puente independientemente en lugar de confiar en sus outputs.
3. Los tokens de long-tail son particularmente vulnerables a incidentes de puentes porque su liquidez es lo suficientemente delgada como para que incluso cantidades modestas de suministro inflado colapsen sus precios. Los principales tokens con liquidez profunda capean incidentes similares con un impacto porcentual mucho menor.

La cascada de 2022 de fallos de puentes — Wormhole, Ronin, Nomad, Harmony — se construyó sobre las lecciones estructurales que ChainSwap había prefigurado a menor escala. Para 2022, el TVL relacionado con puentes se convirtió en una de las mayores concentraciones únicas de riesgo en todo el DeFi.