A finales de abril de 2025, Loopscale, un proyecto de infraestructura de liquidez en cadena, fue víctima de un sofisticado ataque de manipulación de oráculos. El incidente, que sacudió brevemente la confianza en la plataforma, tuvo un desenlace inusual: el autor del ataque devolvió los fondos. Aunque este desenlace pueda parecer redentor, el caso pone de relieve las vulnerabilidades persistentes en los protocolos de finanzas descentralizadas (DeFi) y subraya la importancia de un diseño robusto de los oráculos y de una supervisión en tiempo real.

En este artículo, analizamos los detalles técnicos del ataque, la respuesta inmediata del equipo de Loopscale y las implicaciones más amplias para la seguridad de los protocolos en el sector DeFi.

¿Qué es Loopscale?

Loopscale es una capa de infraestructura diseñada para mejorar el enrutamiento de la liquidez en la cadena. Se centra en optimizar la ejecución en fondos de liquidez fragmentados mediante el uso de la automatización de contratos inteligentes y los datos proporcionados por los oráculos. Al igual que muchos sistemas DeFi, depende en gran medida de los oráculos para determinar los precios de mercado justos de los activos y ejecutar la lógica basada en esos datos.

Los oráculos, aunque son indispensables en las finanzas descentralizadas (DeFi), suelen ser un eslabón débil. Si un atacante consigue manipular los datos que se introducen en un protocolo, este podría ejecutar transacciones basándose en supuestos erróneos, lo que abriría la puerta a posibles vulnerabilidades.

Cronología del ataque

26 de abril de 2025: La vulnerabilidad

Según las declaraciones de Loopscale y las investigaciones llevadas a cabo por la comunidad, el ataque se produjo el 26 de abril de 2025. El atacante manipuló el oráculo de precios del protocolo para inflar el valor del token RateX PT. Aprovechando este precio inflado, pudo retirar más fondos de los que estaban legítimamente disponibles según el valor de mercado real, aproximadamente 5,8 millones de dólares en total, que incluían 5,7 millones de USDC y 1 200 SOL.

Es probable que el método de manipulación consistiera en generar movimientos artificiales en el precio de un par de divisas de baja liquidez al que hacía referencia el oráculo. Al realizar operaciones que impulsaban el precio al alza y, a continuación, hacer que el oráculo comunicara ese precio manipulado al protocolo, el atacante engañó al sistema para que creyera que el activo valía más de lo que realmente valía.

27-28 de abril de 2025: Las secuelas

Tras aprovechar la vulnerabilidad, el atacante recibió una oferta pública del equipo de Loopscale: devolver el 90 % de los fondos a cambio de una recompensa del 10 % para «whitehats» y la exención de cualquier acción legal. El 28 de abril de 2025, el autor del ataque aceptó la oferta y devolvió la mayor parte de los fondos.

Loopscale actuó con rapidez para poner en pausa los sistemas vulnerables e inició una revisión exhaustiva de la seguridad. Se prometió un análisis completo de lo sucedido, que posteriormente fue publicado por investigadores de seguridad y empresas de auditoría.

Análisis detallado del exploit técnico

La vulnerabilidad principal que se aprovechó en el sistema de Loopscale era una dependencia insegura de un oráculo de precios que podía verse influida mediante operaciones con baja liquidez. Así es como suelen funcionar este tipo de ataques:

1. Configuración: El atacante identifica un par de negociación o un fondo común de liquidez que alimenta un oráculo de precios.
   
   
2. Manipulación: Al inyectar una cantidad relativamente pequeña de capital, el atacante provoca grandes fluctuaciones en los precios debido a la escasa liquidez.
   
   
3. Actualización del oráculo: El oráculo recoge el precio manipulado y lo comunica al protocolo.
   
   
4. Aprovechamiento: El protocolo lleva a cabo operaciones económicas (por ejemplo, préstamos, intercambios, valoración de garantías) basándose en un precio incorrecto.
   
   
5. Beneficio: El atacante obtiene un beneficio del protocolo.
   ‍

En el caso de Loopscale, esto supuso la manipulación del mecanismo de fijación de precios del token RateX PT.

Reacción de la comunidad y de los desarrolladores

La reacción del equipo de Loopscale fue rápida y transparente. Reconocieron el problema públicamente en X (antes Twitter) y tomaron medidas inmediatas para evitar daños mayores:

• Suspender las operaciones del protocolo que dependían del oráculo afectado.
  
  
• Colaborar con expertos en seguridad para evaluar el alcance de la filtración.
  
  
• Colaborar con empresas de auditoría externas para llevar a cabo una revisión exhaustiva.
  
  
• Comprometerse a realizar un análisis público de lo sucedido.

Este enfoque recibió comentarios positivos por parte de la comunidad, incluso en medio de la frustración que generó la vulnerabilidad. La transparencia, en momentos como estos, puede ser fundamental para mantener la confianza.

Lecciones aprendidas

1. El fallo de seguridad de Oracle sigue siendo una vulnerabilidad crítica

A pesar de los años de evolución de las finanzas descentralizadas (DeFi), la manipulación de los oráculos sigue siendo un vector de ataque viable. Los protocolos que dependen de oráculos de una sola fuente o con baja liquidez son especialmente vulnerables. Entre las mejores prácticas se incluyen:

• Utilizando los precios medios ponderados por el tiempo (TWAP).
  
  
• Recopilación de datos de múltiples fuentes.
  
  
• Validación de los cambios de precios en relación con los mecanismos de protección automática.
  

2. Los préstamos flash aumentan el riesgo

Los préstamos «flash» permiten a cualquier persona obtener grandes sumas de capital sin necesidad de aportar garantías iniciales, siempre y cuando se devuelvan en el marco de la misma transacción. Si bien permiten una mayor eficiencia del capital, también facilitan la manipulación rápida y temporal del mercado. Los protocolos deben diseñarse teniendo esto en cuenta.

3. El tiempo de respuesta es importante

La capacidad de Loopscale para reconocer rápidamente el incidente, detener los sistemas e iniciar un proceso de revisión ayudó a contener el daño a su reputación. En el sector DeFi, donde la percepción de la comunidad y el TVL (valor total bloqueado) son muy volátiles, el tiempo de respuesta suele ser tan importante como las soluciones técnicas.

4. La devolución de los fondos no elimina el incumplimiento

Aunque la devolución de los fondos ha mitigado las pérdidas económicas, esto no cambia el hecho de que se haya producido el ataque. Los protocolos nunca deberían depender de la buena voluntad de los atacantes. Un ataque del que se han devuelto los fondos sigue siendo un ataque que ha tenido éxito.

Comparación con incidentes similares

El incidente de Loopscale recuerda a ataques anteriores relacionados con Oracle, como:

• Los ataques a bZx de 2020 también se valieron de la manipulación de oráculos y de los préstamos relámpago.
  
  
• El ataque a Harvest Finance, en el que los atacantes utilizaron la manipulación de precios para vaciar los fondos comunes.
  
  
• La vulnerabilidad de Mango Markets en 2022, en la que un atacante manipuló el saldo de su propia cuenta a través de un oráculo y se llevó más de 100 millones de dólares.

Estos patrones de ataque recurrentes ponen de manifiesto que los exploits basados en oráculos no son casos aislados, sino un problema sistémico.

Mirando hacia el futuro

Tras el incidente, Loopscale y otros equipos de DeFi deben plantearse cambios a largo plazo:

• Implementar estrategias de oráculo multicapa con una lógica de respaldo robusta.
  
  
• Establecer parámetros de riesgo más estrictos en relación con los umbrales de liquidez.
  
  
• Realizar pruebas de estrés continuas de los datos de Oracle en diversas condiciones de mercado.
  
  
• Explora los agentes autónomos en cadena que pueden detener o ajustar el comportamiento del protocolo de forma dinámica en respuesta a anomalías.
  
  

La seguridad no es algo puntual. Es un proceso continuo que debe evolucionar al mismo ritmo que la tecnología y los modelos de amenaza.

Reflexiones finales

El ataque al oráculo de Loopscale nos recuerda que incluso una infraestructura de DeFi sofisticada puede verse comprometida por vulnerabilidades aparentemente sencillas. Aunque el incidente concluyó con la devolución de los fondos y una pérdida de capital mínima, constituye un caso de estudio fundamental que ilustra por qué son esenciales la resiliencia de los oráculos, la rapidez de respuesta y los mecanismos de defensa por capas.

A medida que los protocolos DeFi siguen aumentando en complejidad y valor total, el sector debe ir más allá de una seguridad fragmentada. Incidentes como este seguirán produciéndose a menos que la seguridad sea tan modulable y continua como los propios protocolos.

‍

Ya sea «whitehat» o «blackhat», cada vulnerabilidad pone de manifiesto un punto débil. El reto ahora es la rapidez con la que el sector sea capaz de aprender de ello.
‍

Reserva tu consulta gratuita sobre seguridad:

Google Calendar: https://calendar.app.google/Ai15eyQhiV5c1pBXA
Telegram: https://t.me/m_ndr