Exit scam de Kokomo Finance

El 27 de marzo de 2023, el protocolo de préstamo en Optimism Kokomo Finance —un fork de Compound v2— ejecutó un rug pull de 4 millones de dólares. El equipo pausó el mercado cBTC del protocolo, modificó el contrato de recompensa para apuntar a una implementación maliciosa, drenó el WBTC suministrado por usuarios, y luego borró el sitio web y todos los canales sociales.

Qué ocurrió

Kokomo Finance se presentó como un mercado de préstamo legítimo en Optimism con las señales estándar de confianza: un producto fork de Compound desplegado y presencia social activa. Había acumulado un TVL significativo, incluido WBTC suministrado por usuarios.

El rug explotó el control privilegiado retenido del equipo sobre los contratos del protocolo:

1. Pausó el mercado cBTC: impidiendo a los usuarios retirar mientras se ejecutaba el rug.
2. Modificó el contrato de recompensa (implementación de cBTC) a una versión maliciosa que el equipo controlaba, usando la autoridad de actualización que habían retenido sobre los contratos del protocolo.
3. La implementación maliciosa dejó al equipo transferir el WBTC suministrado por usuarios fuera del protocolo a direcciones controladas por el atacante.
4. Drenó ~4 M$ en WBTC y otros activos.
5. Borró el sitio web, Twitter y todos los canales comunitarios: la jugada final estándar del exit scam.

El token KOKO colapsó ~95%; los usuarios que habían suministrado colateral a los mercados pausados no pudieron retirar y perdieron sus depósitos.

Consecuencias

• Sin recuperación: el rug estaba estructurado para que el equipo controlara las claves de actualización, la función pause y la ruta de salida.
• Kokomo Finance se unió a la larga lista de rug pulls fork de Compound con aspecto de auditado en L2 emergentes en 2022-2023.

Por qué importa

Kokomo Finance es una entrada representativa en el subgénero "rug fork de Compound", distinta de los bugs fork de Compound (Hundred Finance, Sonne Finance) porque la pérdida fue intencional, ejecutada mediante control privilegiado retenido en lugar de una vulnerabilidad no prevista.

Las lecciones estructurales para usuarios:

1. Los forks de préstamo actualizables con claves admin retenidas son capaces de rug por construcción. Si el equipo puede pausar mercados y actualizar implementaciones de contrato, puede hacer exactamente lo que hizo Kokomo. La pregunta on-chain que los usuarios deberían hacer —pero raramente hacen— es "¿quién controla la autoridad de actualización y pause, y está renunciada, bajo timelock o protegida por multi-firma?".

2. La secuencia "pausar luego drenar" es una firma de rug. Una pausa de emergencia legítima protege a los usuarios; una pausa seguida inmediatamente de una actualización de implementación y transferencia de activos es una salida. El patrón es detectable on-chain, y los servicios de monitoreo cada vez más lo señalan, pero normalmente demasiado tarde para los depositantes ya en el mercado pausado.

3. Los L2 emergentes en su fase de crecimiento atraen rugs de fork. El crecimiento del ecosistema de Optimism en 2022-2023, como el de BSC en 2021 y Arbitrum en 2022-2023, atrajo una ola de forks de Compound desplegados rápidamente: algunos con bugs, algunos maliciosos, estructuralmente indistinguibles para los usuarios en el momento del depósito. Kokomo es uno de muchos; el patrón recurre en cada cadena durante su ventana de crecimiento de alto incentivo.

La meta-lección recurrente: "es un fork de Compound en una cadena nueva" no es una señal de seguridad: es una señal de riesgo, porque el fork hereda los footguns de Compound y los incentivos del equipo, ninguno de los cuales se vuelve más seguro por la juventud de la cadena.