El órgano de gobierno de tres miembros de X 100 Global, denominado «Senado», fue comprometido y el proyecto afronta pérdidas reportadas de varios millones de dólares. El incidente vuelve a poner el foco en la seguridad de las estructuras multisig, la concentración de permisos de acceso y la custodia de fondos dentro del mercado de criptoactivos.
La información disponible apunta a que la entidad afectada no era una cuenta de usuario corriente, sino el órgano encargado de determinadas decisiones del proyecto o de funciones vinculadas a la gestión de activos. La toma de control de sus puestos pudo haber afectado fondos y otros permisos operativos esenciales. Por ahora no se han divulgado el importe exacto de las pérdidas, los activos transferidos, la identidad de los atacantes ni las direcciones de destino.
El «Senado» de tres miembros, en el centro del incidente
X 100 Global utilizaba una estructura de gobierno de tres puestos inspirada en un «Senado». Este tipo de configuración suele exigir la aprobación de varios administradores para ejecutar acciones relevantes, con el objetivo de limitar el impacto de un error o de la vulneración de una sola cuenta. Sin embargo, si una mayoría o la totalidad de los puestos, junto con los permisos de firma asociados, queda bajo control simultáneo, los controles previstos en una estructura multifirma pueden dejar de ser efectivos.
La cuestión principal es determinar si el control de la capa de gobierno del proyecto fue tomado por completo y si los atacantes obtuvieron autoridad para mover activos. Una modificación en la página de gobernanza, en una cuenta o en los derechos de voto no demuestra por sí sola que se hayan transferido todos los fondos del proyecto. La cifra definitiva de pérdidas tendrá que contrastarse con los registros de transacciones en la cadena, las comunicaciones del proyecto y los saldos de las carteras afectadas.
Las pérdidas de varios millones siguen sin confirmar
Las descripciones públicas del incidente sitúan las pérdidas en «varios millones de dólares», pero no existe una cifra verificada de forma independiente. En un proyecto de criptoactivos, la evaluación puede incluir algo más que los tokens enviados directamente desde las carteras. También podrían considerarse los activos depositados en fondos de liquidez, los saldos de tesorería, las posiciones en staking y las obligaciones adicionales generadas por cambios en los permisos de gobierno.
Los participantes del mercado previsiblemente examinarán tres grupos de datos: la evolución de los saldos de las carteras antes y después del compromiso; si las transferencias en la cadena terminaron en exchanges u otras direcciones no identificadas; y si el proyecto todavía puede procesar retiros y ejecutar con normalidad las operaciones de sus contratos. Mientras no se publiquen esos detalles, los observadores externos no pueden determinar si las pérdidas ya se han detenido o si aún son posibles nuevas transferencias de activos.
Permisos de control y fondos de los usuarios, bajo revisión
X 100 Global tendrá que precisar el alcance de cada uno de los tres puestos de gobierno, el momento en que comenzó la actividad anómala, los contratos y carteras afectados y si ha suspendido los permisos correspondientes. Si esos puestos podían modificar las direcciones de tesorería, actualizar contratos o cambiar parámetros relacionados con los fondos, el proyecto también deberá aclarar si congeló o revocó los accesos y si trasladó activos a nuevas carteras.
Para los usuarios, las principales dudas se centran en si pueden retirar sus fondos, qué activos han sido afectados y si el proyecto ha completado su contabilidad y definido posibles acuerdos de compensación. La información sobre las pérdidas individuales, el estado de los retiros y el plan de recuperación sigue siendo incompleta.
A medida que se hagan públicas más direcciones de carteras y registros de gobernanza, deberían quedar más claros el alcance del incidente y la atribución de responsabilidades. Hasta entonces, el importe de las pérdidas y la posibilidad de que persistan riesgos sobre los activos no pueden establecerse de forma concluyente.