Compromiso de wallet admin en EasyFi

El 19 de abril de 2021, el protocolo de préstamo basado en Polygon EasyFi Network perdió aproximadamente 81 millones de dólares cuando el atacante drenó tanto los pools de liquidez del proyecto como un lote recién acuñado de tokens EASY desde la wallet admin de EasyFi.

Qué ocurrió

Los controles administrativos a nivel de protocolo de EasyFi —incluyendo la autoridad de acuñación y la gestión de tesorería— estaban detrás de una única wallet admin MetaMask controlada por el fundador y CEO Ankitt Gaur.

A las ~10:40 UTC del 19 de abril, los atacantes comprometieron la computadora física de Gaur y exfiltraron las claves privadas de la wallet MetaMask directamente del disco duro. El equipo sospechó inicialmente de un phishing de MetaMask o de un exploit de extensión de navegador, pero el análisis post-mortem confirmó que el compromiso fue a nivel de endpoint: malware en la máquina del CEO leyó el vault cifrado de la wallet, hizo fuerza bruta a la contraseña y extrajo las claves.

Con acceso de admin en su poder, el atacante:

1. Acuñó 2,98 millones de tokens EASY nuevos a nivel de protocolo —valor de 75 M$+ a los precios de mercado de entonces—.
2. Drenó aproximadamente 6 M$ en stablecoins (USDC, DAI, USDT) directamente de los pools de liquidez de EasyFi.
3. Bridgeó los ingresos a través de Ren Bridge a Bitcoin (~123 BTC) y de allí a una única dirección de lavado.

Consecuencias

• EasyFi pausó el protocolo y anunció un plan de recuperación mediante una migración de token a un contrato rediseñado con controles administrativos multi-firma + timelock.
• La comunidad absorbió pérdidas reales; la persecución on-chain de los fondos no produjo recuperaciones.
• EasyFi nunca recuperó su posición previa al incidente entre los protocolos DeFi de Polygon.

Por qué importa

EasyFi es uno de los casos de estudio más claros de por qué la seguridad del endpoint para las claves de admin es el modelo de seguridad real, no lo que prometa la arquitectura del contrato. Un único laptop con el vault maestro de MetaMask en disco está a un malware de distancia de ser el compromiso de todo el protocolo. La respuesta defensiva —firma solo con hardware wallet en rutas de admin, multi-firma con firmantes distribuidos geográficamente, acciones admin con timelock— ya era buena práctica en 2021, pero los proyectos en fase temprana, que aún no habían aprendido la lección de EasyFi personalmente, se la saltaban de forma rutinaria.