Drenaje de reservas por el sell-hook de TENDRIL

El 5 de noviembre de 2026, el pool de liquidez del token TENDRIL en BNB Chain fue explotado por aproximadamente 555.000 dólares en USDT. Un fallo en el sell-hook personalizado del token permitió a un atacante manipular la contabilidad de reservas del pool y retirar casi todo el stablecoin emparejado. Los servicios de seguridad ExVul y ScaleBit alertaron del ataque el mismo día, publicando el contrato vulnerable, la dirección del par y las transacciones del atacante.

Qué ocurrió

TENDRIL cotizaba frente a USDT en un pool de PancakeSwap V2. El token incorporaba una lógica personalizada que se ejecutaba en cada venta a través de una ruta PoolControl.sellToken, combinada con una operación de quema controlada. Al quemar tokens del par de intercambio, el atacante podía reducir el balance de TENDRIL del par y forzar un sync de las reservas antes de que se liquidara el resto de la entrada de venta. Con las reservas desincronizadas, TENDRIL quedaba momentáneamente valorado muy por encima frente al USDT, y la entrada retrasada extraía entonces casi todo el USDT del pool. Durante el exploit, el atacante también dirigió unos 30.000 USDT fijos a una dirección beneficiaria codificada en el contrato. Las primeras estimaciones oscilaron entre unos 309.000 dólares (TenArmor) y alrededor de 550.000–555.000 dólares una vez contabilizadas las pérdidas netas.

Consecuencias

No se recuperaron fondos al momento de redactar esto, y el equipo no emitió ninguna declaración pública de remediación. El USDT del atacante fue retirado del pool y movido en la cadena.

Por qué importa

TENDRIL es el caso más reciente de una racha constante de drenajes por lógica de token personalizada en PancakeSwap, donde un hook propio de transferencia, impuesto o quema permite a un atacante desincronizar las reservas del pool y extraer el lado del stablecoin. Es casi idéntico en forma a DIP Token —allí un return ausente permitió al atacante vaciar un pool de PancakeSwap mediante skim/sync— y al drenaje por skim de reservas de NemTokenV2 semanas antes, ambos en BNB Chain. La lección de fondo se remonta a Spartan Protocol: cualquier token que manipule sus propios balances en torno al sync de un AMM invita al abuso de la contabilidad de reservas. Los sell-hooks sin auditar siguen siendo superficie de ataque activa, y las pérdidas por debajo de 1 millón de dólares que producen rara vez regresan.