- Una fallada en un pont entre cadenes va permetre sostreure actius digitals per més de 600 milions de dòlars en qüestió d’hores.
- L’atacant va començar a retornar part del que havia robat, una cosa molt poc habitual en aquesta mena d’atacs.
- La lliçó és de fons: en cripto no hi ha una garantia de dipòsits, i el risc és a la custòdia i al codi.
El 10 d’agost del 2021 Poly Network, un protocol que permet moure actius digitals entre diferents cadenes de blocs (entre les quals Ethereum, Binance Smart Chain i Polygon), va anunciar que havia estat atacat i que li havien sostret actius per un valor de més de 600 milions de dòlars. Les estimacions inicials parlaven d’uns 610 milions, la qual cosa convertia l’episodi en un dels majors robatoris coneguts al món de les finances descentralitzades.
El més cridaner va arribar després: l’autor de l’atac va començar a retornar fons en qüestió d’hores i, segons la firma d’anàlisi Elliptic, l’11 d’agost ja havia restituït uns 258 milions de dòlars. Quedava, però, una part important sense recuperar, més de 200 milions, bloquejada en un compte protegit per una contrasenya que només coneixia l’atacant, i la mateixa plataforma en va demanar públicament la devolució.
Què és un pont entre cadenes
Les criptomonedes viuen en xarxes separades que, per disseny, no es comuniquen entre si. Un pont resol aquest problema: bloqueja un actiu en una cadena i n’emet l’equivalent en una altra, de manera que l’usuari el pot moure sense vendre’l. Perquè funcioni, el pont custodia als seus contractes grans quantitats d’actius, i qui controli aquests contractes controla els fons. Els usuaris no veuen el pont: només perceben que el seu actiu apareix a l’altra xarxa, i confien que al darrere hi hagi una custòdia segura.
Segons les primeres anàlisis, l’atacant va aconseguir manipular funcions que governen aquests contractes i, amb elles, autoritzar moviments que no s’haurien d’haver produït. Els ponts concentren valor i complexitat alhora, d’aquí que siguin un objectiu atractiu per als delinqüents. Una auditoria prèvia del codi redueix el risc, però no l’elimina. Per això convé no donar per segur un actiu només perquè el seu codi hagi estat auditat.
Una devolució poc habitual
En la majoria d’atacs d’aquest tipus, els fons es perden de manera definitiva: es dispersen entre adreces, es barregen o es converteixen ràpidament en altres actius. Que el responsable decideixi retornar-ne una part, sigui quina sigui la seva motivació, és una excepció i no una regla, i no hi ha manera de saber fins on arribarà la restitució.
Tampoc no hi ha un marc clar al qual acudir. No hi ha cap organisme que garanteixi el que s’ha perdut, i la identificació i la persecució dels autors, quan és possible, és lenta i complexa. La reclamació depèn que qui va sostreure els actius decideixi cooperar o que les autoritats aconsegueixin localitzar-lo. És un contrast clar amb el sistema financer tradicional, on les operacions es poden bloquejar, revertir o investigar amb eines legals consolidades.
Què ensenya a empreses i famílies
Els dipòsits bancaris estan coberts per un fons de garantia fins a 100.000 euros per titular i entitat; els criptoactius, no. El Banc d’Espanya i la CNMV han advertit en diverses ocasions que aquests productes no estan regulats ni compten amb protecció específica. La Comissió Europea va proposar el setembre del 2020 un reglament per al sector, conegut com a MiCA, que continua en tramitació.
Qui ja tingui exposició a criptoactius faria bé de tenir clar on són custodiats, qui controla les claus, quines plataformes hi intermedien i quins riscos tècnics assumeix en cadascuna. Aquesta nota és només informativa i no constitueix recomanació d’inversió, ni de compra ni de venda. El cost d’una mala decisió de custòdia pot ser total i, en la majoria dels casos, irreversible.
En aquest món el codi és la norma, i també el principal risc.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
