Manipulación de oráculo en Nirvana Finance

El 28 de julio de 2022, el protocolo de rendimiento DeFi en Solana Nirvana Finance perdió aproximadamente $3,49 millones cuando se usó un préstamo flash de $10 millones en USDC para manipular su propio oráculo del token ANA, permitiendo al atacante extraer más valor del que aportó. El token nativo del protocolo ANA cayó 89% y su stablecoin NIRV se despegó en 90%, terminando efectivamente con el protocolo.

Qué ocurrió

Nirvana tasaba su token ANA usando su propia curva de bonding interna y un oráculo de precios que leía de la liquidez on-chain. El protocolo permitía a los usuarios mintear ANA contra depósitos en USDC y redimir ANA de vuelta por USDC al precio reportado por el oráculo — sin ninguna resistencia significativa a préstamos flash en la lectura de precio en el mismo bloque.

El ataque:

1. Tomó prestados $10 M USDC en préstamo flash de Solend.
2. Minteó ANA al precio prevaleciente antes del ataque — el depósito empujó la curva de bonding hacia arriba.
3. El oráculo, leyendo desde la misma curva, reportó un precio más alto de ANA en el mismo bloque.
4. Redimió el ANA recién minteado de vuelta al protocolo — pero al precio inflado del oráculo, el protocolo devolvió ~$13,49 M USDT por el ANA que el atacante acababa de mintear por $10 M.
5. Reembolsó el préstamo flash, se marchó con ~$3,49 M de beneficio.

Las consecuencias fueron peores que el robo realizado. NIRV (la stablecoin de Nirvana) estaba respaldada en parte por reservas de ANA, y el precio de ANA se desplomó cuando el mercado tasó la solvencia rota del protocolo. NIRV perdió 90% de su paridad; ANA perdió 89% de su valor. El robo realizado fue de $3,5 M pero la pérdida económica del protocolo fue mucho mayor.

Consecuencias

• Los fondos robados fueron puenteados de Solana a Ethereum vía Wormhole y blanqueados a través de Tornado Cash.
• Nirvana cerró operaciones en días; el protocolo nunca reabrió.
• El atacante fue eventualmente identificado por investigadores on-chain y enfrentó múltiples demandas civiles, aunque no se ha reportado públicamente ninguna recuperación penal.

Por qué importa

Nirvana es uno de los tres protocolos DeFi de Solana de 2022 (junto con Crema Finance y Cashio) destruidos en una ventana de seis meses por bugs de oráculo y validación que habían sido documentados en EVM años antes. El ecosistema DeFi de Solana aún estaba alcanzando el conocimiento de seguridad acumulado en Ethereum, y cada incidente se pagó con dinero real de clientes.

La lección estructural es la recurrente: un oráculo que lee desde una curva que el atacante puede mover en la misma transacción no es un oráculo, es una calculadora que el atacante controla.