UNCX Vesting V2: exploit contable

El 14 de octubre de 2026, UNCX Network, un proveedor de infraestructura para bloqueo y vesting de tokens, vio cómo sus contratos compartidos Vesting V2 eran drenados de tokens bloqueados en cuatro cadenas por aproximadamente 1,5 millones de dólares. La pérdida comenzó como un drenaje de 86.000 dólares en Ethereum y creció unas 17 veces a medida que carteras imitadoras y bots MEV se sumaban al mismo fallo.

Qué ocurrió

La Vesting V2 de UNCX permite a los proyectos bloquear tokens en un contrato compartido VestingManager que los libera a los beneficiarios con el tiempo. Según la firma de seguridad Blockaid, que detectó actividad previa al exploit cerca de una hora antes del primer drenaje, y ExVul, que diseccionó la primera transacción en Ethereum, el exploit fue una discrepancia contable en ese contrato compartido, no una clave privada comprometida.

El fallo estaba en cómo el gestor rastreaba las participaciones de vesting entre liberaciones y cancelaciones:

1. La función release() reducía el total global de participaciones pero no eliminaba las participaciones liberadas del depósito registrado de una posición.
2. Una cancelación posterior de esa posición restaba entonces las mismas participaciones por segunda vez, corrompiendo la contabilidad del fondo compartido.
3. El atacante encadenó estos pasos —crear posiciones, liberar una grande, donar tokens de vuelta y cancelar una posición ampliada— para dejar una posición residual diminuta capaz de retirar tokens que otros usuarios habían depositado en el fondo compartido.

Blockaid contabilizó unos 1,49 millones de dólares en 11 transacciones de drenaje: aproximadamente 969.000 dólares en BNB Smart Chain, 242.000 dólares en Ethereum, 169.000 dólares en Robinhood Chain y 114.000 dólares en Base. Diez tokens en cuatro cadenas se vieron afectados; UNCX afirmó que sus bloqueadores de liquidez y el contrato de vesting heredado quedaron intactos.

Consecuencias

UNCX reveló el incidente el mismo día, calificándolo de "aislado a los contratos Vesting V2", y actuó para cortar nuevos drenajes: elevó la tarifa plana de los nuevos bloqueos a más de 1.000 ETH, eliminó las interfaces que permitían a los usuarios eludir las tarifas y fijó las tarifas de los tokens en el máximo del 5 % del contrato. El equipo dijo que estaba coordinando con las fuerzas del orden y con SEAL 911, en contacto con la mayoría de los proyectos afectados, y que publicaría un informe completo del incidente y un plan de recuperación propuesto esa misma semana. Ni el atacante original ni las direcciones imitadoras habían devuelto fondos, y al momento de la redacción no se conocía públicamente la identidad de ningún atacante.

Por qué importa

El drenaje de UNCX es un caso de manual de fallo contable en un fondo compartido: una sola magnitud mal rastreada —aquí, las participaciones de vesting liberadas frente a las depositadas— permitió a una posición retirar activos que respaldaban a todos los demás. Pertenece a la misma familia que el exploit de redondeo del Cauldron de Abracadabra, donde una contabilidad de deuda que restaba de menos a un total compartido infló la capacidad de un actor a costa del fondo, y repite la lección más amplia de los fallos de custodia-por-contrato como el drenaje del vault de wstETH en Base: cuando los fondos de muchos usuarios comparten una misma estructura contable, cada ruta aritmética que toca esa estructura es crítica para la solvencia. La rápida adhesión de imitadores y bots MEV —que convirtió una prueba de concepto de 86.000 dólares en una pérdida de siete cifras en cuestión de horas— es ya un rasgo habitual de los exploits en el mempool público, y una razón por la que la rapidez de divulgación y mitigación importa tanto como el parche original.