Hackeo a Ostium: la plataforma DeFi culpa a una brecha off-chain del robo de 24 millones de dólares

El protocolo de trading descentralizado Ostium atribuyó el hackeo a Ostium por 24 millones de dólares a una brecha en su infraestructura fuera de la cadena (off-chain) y descartó de plano que exista una vulnerabilidad en sus contratos inteligentes. La plataforma sostiene que el ataque no comprometió el código que gestiona los fondos en la blockchain, sino sistemas externos que operan alrededor de él.

La distinción no es menor. En la jerga del sector, un fallo en un contrato inteligente implica que el propio corazón del protocolo es explotable y pone en duda todo el diseño. Una brecha off-chain, en cambio, apunta a servidores, claves o componentes auxiliares que no viven en la cadena, un vector más parecido al de un hackeo informático tradicional.

Qué se sabe del hackeo a Ostium

Según la versión del equipo, el atacante habría aprovechado un punto débil en la parte off-chain de la operación para sustraer fondos por un valor cercano a los 24 millones de dólares. Ostium remarcó que sus contratos, que administran las posiciones y las garantías de los usuarios, se mantuvieron intactos durante el incidente.

Publicidad

Este tipo de arquitectura mixta es común en las plataformas de derivados descentralizados: buena parte de la lógica sensible al precio y a la latencia —como los oráculos que alimentan las cotizaciones o los motores que procesan las órdenes— corre fuera de la cadena por razones de velocidad y costo. Ese diseño mejora el rendimiento, pero amplía la superficie de ataque más allá del código auditado en la blockchain.

Ostium no detalló públicamente, al menos en la información disponible, el mecanismo exacto de la intrusión ni si los fondos afectados pertenecían a usuarios, a la tesorería del protocolo o a ambos. Tampoco trascendió si la firma logró recuperar parte del monto o si negocia con el responsable, una práctica habitual en exploits recientes donde los protocolos ofrecen recompensas a cambio de la devolución.

Un patrón que se repite en el sector

Los ataques a plataformas DeFi vienen dejando pérdidas millonarias año tras año, y una porción creciente ya no responde a errores en el código sino a fallas operativas: claves privadas mal custodiadas, interfaces comprometidas, servidores intermedios y errores humanos. La lección que dejan estos episodios es que un protocolo puede tener contratos impecables y aun así ser vaciado por el eslabón que queda fuera de la cadena.

Para los usuarios, el desafío es que estas capas off-chain suelen ser opacas. Un inversor puede revisar el código de un contrato inteligente o consultar una auditoría, pero rara vez tiene forma de evaluar cómo están protegidos los servidores y las claves que operan por detrás. La creciente conflictividad de este terreno explica por qué instituciones del sector empiezan a montar mecanismos formales para resolver disputas, como el panel de arbitraje cripto para contratos inteligentes y blockchain creado por la AAA.

La respuesta de Ostium busca precisamente contener el daño reputacional: al insistir en que el problema fue externo y no estructural, la plataforma intenta transmitir que la lógica central de su producto sigue siendo confiable. Es una defensa razonable desde el punto de vista técnico, aunque para el usuario que perdió fondos la diferencia entre un fallo on-chain y uno off-chain resulta secundaria.

Implicaciones para la seguridad DeFi

El incidente reaviva el debate sobre hasta qué punto una plataforma puede llamarse verdaderamente descentralizada cuando componentes críticos dependen de infraestructura centralizada y fuera de la cadena. Cuanto mayor es esa dependencia, más se parece el riesgo al de una empresa tradicional expuesta a intrusiones informáticas.

Entre las medidas que suelen adoptarse tras episodios de este tipo figuran las auditorías de la infraestructura completa —no solo del código—, el uso de billeteras multifirma para operaciones sensibles, la segmentación de sistemas y programas de recompensas para investigadores de seguridad. Ninguna elimina el riesgo por completo, pero reducen la ventana de exposición.

Por ahora quedan preguntas abiertas: cuánto del monto sustraído podrá recuperarse, cómo compensará Ostium a los afectados y qué correcciones aplicará a su arquitectura off-chain. La forma en que la plataforma gestione las próximas semanas pesará tanto como la explicación técnica del ataque a la hora de recuperar la confianza de sus usuarios.