Inflación de participaciones en el Tranche Vault de Fence Finance

El 27 de octubre de 2026, Fence Finance perdió aproximadamente 1,01 millones de dólares cuando un atacante con un préstamo flash manipuló la contabilidad de participaciones de un Tranche Vault en Avalanche, acuñó una cantidad inflada de participaciones del vault y las canjeó por todo el saldo de USDC del pool.

Qué ocurrió

El objetivo fue un Tranche Vault en la Avalanche C-Chain que la firma de seguridad Web3 Blockaid vinculó a Fence Finance y Valinor Digital, aunque ninguna de las dos empresas confirmó cuál de ellas operaba el contrato. El vault aceptaba depósitos de USDC y emitía participaciones que representaban un derecho sobre el pool.

El fallo estaba en la lógica de acuñación de participaciones del vault, que calculaba mal el valor de un depósito y permitía así a un atacante acuñar muchas más participaciones de las que justificaban los USDC realmente aportados. Usando un préstamo flash como capital de trabajo, el atacante disparó el recuento de participaciones del vault y luego canjeó esas participaciones infladas contra el saldo subyacente real. Los registros on-chain muestran al vault (0xE25CB545Bdd47a8Ec2d08001cb5661B00D47621a) transfiriendo 1.013.353,61 USDC al contrato del atacante alrededor de las 20:00 h ET, dejando el contrato identificado sin USDC. Blockaid publicó su alerta aproximadamente una hora después, a las 21:07 h ET del 27 de octubre, y describió el exploit como todavía en curso en ese momento.

Consecuencias

En el momento de las primeras divulgaciones, no se había reportado la recuperación ni la congelación de ninguno de los fondos, y no se había establecido la identidad del atacante. Los informes discrepaban sobre si el exploit había terminado por completo o si el vault se había pausado y el fallo se había corregido. Ni Fence Finance ni Valinor Digital emitieron una declaración pública, y no se publicó ninguna autopsia oficial.

Por qué importa

Esta es una entrada más en la larga lista de fallos de contabilidad de participaciones al estilo ERC-4626, donde la aritmética que convierte los depósitos en participaciones puede torcerse de modo que una participación valga más que los activos que la respaldan. Un préstamo flash convierte esa brecha aritmética en un drenaje instantáneo: aporta el capital para inflar el recuento de participaciones y se devuelve en la misma transacción, de modo que el atacante no necesita capital propio. El mismo patrón vació a Resupply, donde un préstamo flash de 4.000 dólares explotó un ataque de donación ERC-4626 sobre un vault de dos horas de antigüedad por 9,8 millones de dólares, y a Sonne Finance, un clásico ataque de donación sobre un mercado recién desplegado. Como con Abracadabra Money, la defensa es bien conocida —arrancar los vaults con participaciones virtuales o un desfase de dead-shares y redondear cada cálculo de participaciones a favor del protocolo—, y aun así los vaults recién lanzados siguen saliendo sin ella.