Raydium promete cubrir las pérdidas de los usuarios tras el hackeo de $1,34M en pools obsoletas

Un hacker ha explotado una vulnerabilidad en el programa heredado AMM V3 de Raydium, drenando aproximadamente $1.34 millones de cinco pools de liquidez que habían sido descontinuados desde 2021. 

El equipo de Raydium confirmó que era consciente de la extracción no autorizada de liquidez y se comprometió a cubrir las pérdidas.

El ataque apuntó al código que el exchange descentralizado basado en Solana eliminó hace cinco años. 

Según Infra, un miembro del equipo de Raydium, ningún usuario actual se vio afectado porque los pools habían sido inaccesibles a través de la interfaz de la plataforma durante años. Infra también declaró que "la compensación total será gestionada por el tesoro de Raydium."

¿Cómo pudo el atacante explotar los pools descontinuados?

Según Infra, "la vulnerabilidad fue causada por un fallo lógico autocontenido, no por una vulneración de claves ni un problema a nivel de autoridad, por lo que no hay riesgo de propagación."

El investigador de seguridad Param declaró en X que el atacante encontró un fallo en el código de Raydium de 2021. El atacante identificó cinco pools de liquidez abandonados que aún contenían fondos y generó recibos de propiedad fraudulentos. 

Esos tokens LP falsos engañaron al contrato inteligente heredado haciéndole creer que el atacante era un proveedor de liquidez legítimo, permitiendo el retiro completo de los activos del pool.

La firma de seguridad blockchain F12 corroboró los hallazgos, rastreando el ataque en cadena. El exploit se basó en un token LP fabricado con un suministro de solo una unidad. Cuando el atacante envió un retiro usando ese token, el programa antiguo liberó el balance completo del pool.

¿A dónde movió el atacante los fondos robados?

PeckShieldAlert informó que la billetera del atacante fue financiada inicialmente a través de KuCoin. Después de drenar los pools en Solana, puentearon los fondos robados a Ethereum mediante deBridge, obteniendo aproximadamente 810 ETH. 

El atacante luego depositó la mayor parte del botín en Tornado Cash, el protocolo de mezcla frecuentemente utilizado para ocultar los orígenes de las transacciones. Posteriormente movieron 7 ETH a través de FixedFloat, según el análisis de PeckShieldAlert.

Según el equipo de Raydium, la dirección del explotador es 4WnPebowR4HHfumvNPaDjG6Pa5Hi1jxLm6xmmBq33QVk.

Código heredado, riesgo actual

Los programas actuales de Raydium siguen activos, según Infra. El protocolo tiene $796.56 millones en valor total bloqueado en Solana y ha procesado más de $1.1 mil millones en volumen DEX en los últimos siete días, según datos de DefiLlama. 

El programa AMM V3 que fue explotado es independiente de los pools actualmente en uso.

Sin embargo, esta no es la primera vez que Raydium sufre una brecha de seguridad. En diciembre de 2022, el protocolo perdió $4.4 millones tras una vulneración de clave privada.

La última brecha se suma a lo que se ha convertido en una revisión casi diaria de exploits en el sector cripto en 2026. 

Cryptopolitan ha informado anteriormente que CertiK registró 60 incidentes de seguridad confirmados solo en mayo, con pérdidas brutas totales de $68.3 millones, el mayor número mensual de incidentes del año. Las vulnerabilidades de código representaron más de $45 millones de esas pérdidas.

Pocos días antes del exploit de Raydium, los ataques a Gnosis Pay y TesseraDAO costaron a los proyectos al menos $2.5 millones, y la vulnerabilidad del Flooring Protocol se propagó a su fork, Asterisk, a través del código compartido.

A finales de mayo, las pérdidas acumuladas como resultado de exploits cripto en 2026 se aproximaban a $1.3 mil millones. Los ataques relacionados con bridges por sí solos representan $340.7 millones de esa cifra, según ha informado PeckShield.

El equipo de Raydium declaró que sus principales colaboradores están realizando una revisión de seguridad en todos sus programas de mainnet.

Si bien la dirección afirma que compensará a los proveedores de liquidez afectados, Raydium no ha revelado exactamente cómo y cuándo serán reembolsados.

Las mentes más brillantes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.