El cofundador de Espresso informa de un robo de $30K Crypto a través de una vulnerabilidad en el contrato de ThirdWeb

Fuente: CryptoNewsNet Título original: cofundadora de Espresso reporta $30k robo de criptomonedas a través de vulnerabilidad en contrato de ThirdWeb Enlace original: Jill Gunter, cofundadora de Espresso, informó que su billetera de criptomonedas fue vaciada debido a una vulnerabilidad en un contrato de Thirdweb, según declaraciones publicadas en redes sociales.

Resumen del incidente

• La veterana en criptomonedas Jill Gunter reportó el robo de más de $30,000 en USDC desde su billetera, que fue vaciada el 9 de diciembre y redirigida a través de Railgun.
• La vulnerabilidad provino de un contrato legado de Thirdweb que permitía acceso a fondos con aprobaciones de tokens ilimitadas.
• El incidente ocurrió después de una falla en una biblioteca de código abierto en 2023 que afectó a más de 500 contratos de tokens y fue explotada al menos 25 veces, según ScamSniffer.

Detalles del robo

Gunter, descrita como una veterana de 10 años en la industria de las criptomonedas, dijo que le robaron más de $30,000 en USDC. Los fondos fueron transferidos al protocolo de privacidad Railgun mientras ella preparaba una presentación sobre privacidad en criptomonedas para un evento en Washington, D.C., según su relato.

La transacción que vació su dirección jrg.eth ocurrió el 9 de diciembre, y los tokens fueron movidos a esa dirección el día anterior en anticipación a una inversión ángel planificada para esa semana, afirmó.

Aunque los tokens fueron transferidos de jrg.eth a otra dirección identificada como 0xF215, la transacción mostró una interacción con un contrato en 0x81d5, según el análisis de Gunter. Ella identificó el contrato vulnerable como un contrato puente de Thirdweb que había utilizado previamente para una $5 transferencia.

Detalles de la vulnerabilidad

Thirdweb informó a Gunter que en abril se descubrió una vulnerabilidad en el contrato puente. La vulnerabilidad permitía a cualquier persona acceder a fondos de usuarios que habían aprobado permisos ilimitados de tokens. Desde entonces, el contrato ha sido etiquetado como comprometido en Etherscan, un explorador de blockchain.

Thirdweb publicó una declaración indicando que el robo fue resultado de que un contrato legado no fue dado de baja correctamente durante la respuesta a la vulnerabilidad en abril de 2025. La compañía afirmó que ha desactivado permanentemente el contrato legado y que no hay billeteras o fondos de usuarios en riesgo.

Impacto general

Además del contrato puente vulnerable, Thirdweb reveló una vulnerabilidad de amplio alcance a finales de 2023 en una biblioteca de código abierto muy utilizada. El investigador de seguridad Pascal Caversaccio de SEAL criticó el enfoque de divulgación de Thirdweb, señalando que proporcionar una lista de contratos vulnerables daba aviso previo a actores maliciosos.

Según análisis de ScamSniffer, una firma de seguridad en blockchain, más de 500 contratos de tokens fueron afectados por la vulnerabilidad de 2023 y al menos 25 fueron explotados.

Respuesta de Gunter

Gunter afirmó que no sabía si recibiría reembolso y calificó estos riesgos como un peligro profesional en la industria de las criptomonedas. Se comprometió a donar cualquier fondo recuperado a la SEAL Security Alliance y animó a otros a considerar donaciones también.