Exploit de permisos obsoletos en el vault xWBTC de Troves

El 31 de octubre de 2026, Troves — una plataforma de estrategias de rendimiento en Starknet — informó de que su vault xWBTC/WBTC había sido atacado con una pérdida preliminar de aproximadamente 8,6 BTC, en torno a 0,7 millones de dólares. La causa raíz fue un contrato de rebalanceo heredado que ya había sido reemplazado pero seguía conservando permisos activos sobre el vault.

Qué ocurrió

Troves opera "vaults" de estrategia tokenizados que rebalancean automáticamente los activos depositados; un contrato de rebalanceo dedicado posee los privilegios necesarios para mover fondos entre posiciones en nombre del protocolo. Según Troves, cuando actualizó ese rebalanceador, al contrato obsoleto nunca se le retiraron los permisos sobre el vault xWBTC/WBTC. El atacante aprovechó esos privilegios persistentes y demasiado amplios para invocar el contrato obsoleto y drenar unos 8,6 BTC de bitcoin envuelto del vault. El fallo fue, por tanto, un error de control de acceso / autorización obsoleta y no una filtración de claves ni un exploit de precios: la lógica del vault en sí era correcta, pero un componente retirado conservaba la autoridad para mover los fondos de los usuarios. Troves afirmó haber detectado la actividad y, en unos 40 minutos, revocado el contrato problemático y eliminado todos los permisos de rebalanceo de sus vaults de tokens de staking líquido.

Consecuencias

Como precaución, Troves pausó tres vaults — xWBTC/WBTC, xSTRK/STRK y xstrkBTC/strkBTC — y señaló que sus demás vaults no mostraban impacto. El equipo envió un mensaje on-chain al atacante ofreciendo una recompensa de sombrero blanco de 1 WBTC a cambio de devolver los fondos restantes, y afirmó que socios de seguridad estaban rastreando los activos robados. Troves indicó que publicaría un análisis post-mortem y detallaría opciones para los depositantes afectados una vez verificados sus hallazgos. En el momento de la publicación no se había devuelto ningún fondo, no se había publicado la identidad del atacante ni el hash de la transacción, y la cifra de 8,6 BTC seguía siendo una estimación preliminar susceptible de revisión.

Por qué importa

El incidente es un caso de manual de fallo por permisos obsoletos: una actualización desplegó un componente nuevo pero dejó al antiguo conservando privilegios activos, convirtiendo un contrato retirado en una puerta abierta. Recuerda a otras pérdidas de DeFi en Starknet como zkLend y Nostra, y refuerza una lección más amplia del catálogo — que revocar privilegios es tan importante como la corrección del código. Las auditorías rigurosas de la matemática del vault no sirven de nada si una dirección retirada conserva la autoridad para mover fondos; toda actualización que rote un contrato privilegiado debe revocar explícitamente el acceso de su predecesor como parte de la misma migración. La rapidez de la respuesta de Troves — revocar los permisos en unos 40 minutos — probablemente limitó el daño muy por debajo de lo que habría permitido una reacción más lenta.