Puntos Clave de la Noticia:
- Un atacante extrajo aproximadamente 944,2 WETH, valorados en 1,58 millones de dólares, desde un pool de liquidez de Balancer V1.
- El exploit se ejecutó mediante la adquisición de 8.192,000001 tokens TOP, superando el umbral del 50% necesario para aprobar propuestas.
- La dirección de billetera que ejecutó el ataque recibió financiamiento inicial a través del protocolo de privacidad Tornado Cash.
Un hacker explotó una configuración errónea de gobernanza en la Organización Autónoma Descentralizada (DAO) de Token of Power (TOP) y robó $1,58 millones de dólares en Ethereum. Firmas de seguridad blockchain detectaron el incidente que, en el último día, afectó las reservas vinculadas al Token TOP.
El ataque se consumó mediante la adquisición masiva de poder de voto dentro del protocolo descentralizado. Análisis on-chain de la firma Blockaid revelan que, el hacker pudo acumular el capital necesario para comprometer el sistema de manera inmediata.
Exploiter EOA (Funded by Torando):
0xff8eF7bC455a57e5893232203052Ce0232b39Fa2Exploit contract:
0x25c68C44A96518294f5B47D758f98309c6729A21Exploit tx:
0x967aa34c69b7775c718545c7f94d92e965eb5fc553c0f27f6f1a9c65c93ac156TOP token:
0x0EBD5eC91680d3B0CEDbb1d5BB61851154D3eDb6— Blockaid (@blockaid_) June 9, 2026
La acumulación de estos activos otorgó al usuario malicioso más del 50% del quórum de votación. Los analistas de Blockaid sugieren que la baja capitalización de mercado del proyecto facilitó la adquisición económica de una participación mayoritaria.
La aplicación de votación de Aragon en la DAO de TOP no tenía un bloqueo temporal obligatorio. Al parecer, por la falta de este mecanismo, el atacante pudo ejecutar la propuesta en una sola transacción.
Los registros de la plataforma BlockSec Phalcon confirmaron la emisión masiva de nuevos activos hacia la dirección del hacker. El informe de la firma señala que esta acción anuló las defensas lógicas del contrato.
Estructura del exploit y rastreo de fondos
El pool de liquidez de Balancer V1 registró la salida de un total de 944,2 WETH durante el incidente. Las empresas de ciberseguridad indicaron que este protocolo no presentaba fallas y funcionó solo como vía de conversión.
La dirección del atacante, identificada como 0xff8eF7bC455a57e5893232203052Ce0232b39Fa2, recibió fondos del mezclador Tornado Cash. Los analistas on-chain estiman que este movimiento previo buscaba ocultar la identidad del ejecutor.
El suministro de la plataforma estaba limitado a un total de 16.384 tokens en el momento del ataque. Los reportes basados en la documentación de Aragon sugieren que el tamaño reducido del ecosistema incrementó la exposición al riesgo.
En horas de la tarde del martes, ni el equipo de Token of Power ni los desarrolladores de Aragon habían emitido declaraciones oficiales sobre el exploit. Hasta entonces, los fondos robados permanecían bajo el monitoreo de los validadores en la red Ethereum, a la espera del próximo reporte de los investigadores.
