Exploit de pools vacíos en los vaults de opciones de Premia

El 1 de noviembre de 2026, seis vaults de opciones de Premia — un protocolo de opciones descentralizado en Arbitrum — fueron drenados por aproximadamente 0,46 millones de dólares después de que un atacante abusara de la forma en que esos vaults enrutaban el colateral hacia pools de opciones recién creados y vacíos. No se manipuló ningún oráculo de precios ni se robó ninguna clave; la pérdida provino de un fallo de límite de confianza en el smart contract, con los flash loans sirviendo únicamente como capital de trabajo.

Qué ocurrió

Premia permite que cualquiera despliegue un pool de opciones a través de su factory, y los vaults aparentemente trataban cualquier pool creado por la factory como un mercado legítimo. En dos transacciones minadas con cerca de un segundo de diferencia en torno a las 03:15 UTC, el atacante creó seis pools de opciones vacíos (todos con vencimiento el 6 de noviembre de 2026), tomó flash loans de Balancer como capital de trabajo y compró opciones de modo que el colateral de los vaults se moviera a esos pools controlados por el atacante. El colateral pudo entonces retirarse al contrato del atacante como si fuera su propia liquidez, y los flash loans se devolvieron dentro de las mismas transacciones. Las estimaciones de la pérdida variaron según quién las contara: PeckShield la situó en unos 464.600 dólares (aproximadamente 131 ETH), un análisis on-chain independiente citado por The Defiant cifró las pérdidas netas de colateral cerca de 437.000 dólares, y el recuento temprano de Blockaid durante el ataque en curso fue de unos 400.500 dólares — las diferencias reflejan evaluaciones separadas y no robos adicionales. Los activos drenados sumaron aproximadamente 3,64 WBTC, 43,47 WETH, 48.479 USDC.e y 46.215 ARB a través de los vaults de call y put de WBTC, WETH y ARB.

Consecuencias

El atacante transfirió los activos robados de Arbitrum a Ethereum mediante un puente y luego los cambió a Bitcoin a través de Chainflip y NEAR Intents, según PeckShield; las transferencias reportadas no indicaban que ninguno de los servicios ayudara a sabiendas. La huella on-chain era pública: los analistas atribuyeron los drenajes a la dirección atacante 0xbeBa…4dBd operando a través del contrato de ataque 0x5771…785f, con las dos transacciones de drenaje minadas con un segundo de diferencia. En el momento de la publicación inicial, Premia Labs no había publicado un post-mortem detallado, ni nombrado una causa raíz confirmada, ni anunciado ningún plan de reembolso para los depositantes afectados.

Por qué importa

La pérdida de Premia recuerda que la componibilidad sin permisos es en sí misma una superficie de ataque: un vault que confía en cualquier pool creado por la factory como un mercado válido puede ser engañado para enviar su colateral al mercado vacío de un atacante. El exploit no necesitó oráculo ni clave robada — solo una brecha lógica y un flash loan como capital de trabajo, el mismo patrón de capital barato visto en Balancer V2 y Abracadabra. También subraya con qué rapidez los fondos robados en DeFi cruzan hoy cadenas y clases de activos: dentro de la misma sesión, el botín se transfirió mediante puente a Ethereum y se convirtió en Bitcoin a través de servicios de swap entre cadenas, reduciendo la ventana para congelaciones de emisores o recuperaciones.