La amenaza más nueva de DeFi: cómo los fondos de liquidez maliciosos engañan con cotizaciones a los usuarios de Ethereum y Polygon

La empresa de infraestructura DeFi Enso ha identificado una nueva clase de pools de liquidez maliciosos llamados “toxic pools” (pools tóxicos). A diferencia de los exploits tradicionales que roban fondos directamente, estos pools manipulan las simulaciones de transacciones.

Key Takeaways

• El informe de Enso del 16 de julio expuso “toxic pools” que falsifican cotizaciones, causando decenas de miles de dólares en pérdidas en un pool de Curve.
• El exploit amenaza a los front-ends de DeFi, con un único hook malicioso de Uniswap v4 que provoca una tasa de fallo del 99,1%.
• Enso actualizó su producto Enso Shield para detectar cotizaciones falsas en 2 entornos de blockchain diferentes.

Una táctica de “Jekyll y Hyde”

Una nueva clase de pools de liquidez maliciosos de finanzas descentralizadas ( DeFi) descubierta recientemente está atacando la infraestructura central en la que confían los traders de criptomonedas para encontrar los mejores precios, según una investigación publicada el 16 de julio por la firma de infraestructura DeFi Enso.

La empresa llama a estas configuraciones engañosas “toxic pools”. A diferencia de los hackeos típicos de criptomonedas que drenan fondos directamente de contratos inteligentes, estos pools están diseñados para engañar sistemáticamente a las simulaciones de transacciones. Devuelven cotizaciones de precios atractivas y altamente competitivas cuando una billetera cripto o un agregador de exchange descentralizado ( DEX) ejecuta una simulación, pero alteran su comportamiento en el momento en que la transacción se ejecuta realmente en la blockchain.

El resultado es un drenaje sutil y sistémico: los traders reciben precios de ejecución significativamente peores que los cotizados, o sus transacciones fallan, quemando comisiones de red en el proceso.

“Nuestra investigación nos lleva a creer que esto no es simplemente otro exploit aislado de contrato inteligente”, dijo Milos Costantini, cofundador y chief product officer de Enso. “La industria ha pasado años optimizando el descubrimiento de precios. Nuestros hallazgos sugieren que el siguiente reto es verificar la integridad de la ejecución.”

Según el informe de Enso, los toxic pools explotan las simulaciones de “dry-run” fuera de cadena que usan las billeteras para previsualizar operaciones. Los contratos maliciosos detectan cuando se ejecutan en un entorno de simulación de solo lectura y devuelven un precio optimizado artificialmente. Una vez que la transacción se transmite realmente en la cadena (on-chain), el pool altera su lógica matemática para ejecutar la operación a una tasa degradada.

Para mantenerse ocultos ante los sistemas de seguridad, estos pools alternan entre estados honestos y maliciosos, volviendo ineficaces los escáneres de código estático y los filtros de reputación históricos. Este diseño de cebo y cambio degrada la experiencia del usuario y drena fondos mediante transacciones fallidas. En un caso de estudio, un pool de Curve manipulado provocó más de 37.000 operaciones revertidas, obligando a los usuarios a quemar casi $30.000 en comisiones de gas.

Los atacantes también están explotando arquitecturas de exchange modulares de nueva generación. En Polygon, un “hook” malicioso —un complemento de contrato inteligente usado en plataformas como Uniswap v4— atrajo a los sistemas de enrutamiento con tasas falsas antes de disparar una tasa de fallo del 99,1% en las transacciones.

Hallazgos de análisis forense on-chain

La investigación, que abarcó aproximadamente dos meses de análisis forense on-chain, combinó datos de archivos históricos (archive- node), análisis de trazas de transacciones e inspecciones de contratos inteligentes. Los ingenieros de Enso, con apoyo de contactos de los principales protocolos DeFi Curve Finance y Oku, identificaron toxic pools activos operando tanto en las blockchains de Ethereum como en las de Polygon.

En un caso de estudio documentado en Ethereum, un pool de Curve manipulado procesó más de 129.000 swaps. Si bien el pool parecía ser la ruta óptima, entregó una ejecución peor que la cotizada, lo que llevó a aproximadamente $225.000 en cotizaciones sobrevaloradas.

Además, el equipo de Enso identificó múltiples contratos de oráculos de blockchain desplegados por el mismo operador para respaldar pools adicionales, lo que indica que la táctica probablemente esté más extendida que los dos casos documentados y podría representar una plantilla emergente para la extracción on-chain.

Los hallazgos plantean un desafío directo para la capa orientada al usuario del ecosistema DeFi. Las billeteras populares, las interfaces orientadas al consumidor y los agregadores dependen en gran medida de simulaciones automatizadas para garantizar la “mejor ruta” para la operación de un usuario.

El informe de Enso destaca que si la infraestructura de enrutamiento no puede distinguir entre una cotización legítima y una manipulada, los front-ends seguirán dirigiendo a los usuarios hacia estas trampas. Esto genera riesgos potenciales de responsabilidad legal y financiera para los proveedores de billeteras y operadores de interfaces que prometen “mejor ejecución” pero entregan de manera rutinaria rutas tóxicas.

Como respuesta a la amenaza, Enso anunció que ha actualizado su producto de protección de ejecución, Enso Shield, para incluir detección específica de toxic pools. La herramienta de seguridad está diseñada para eludir los métodos estándar de simulación analizando el contexto on-chain en vivo, monitoreando el historial de cotizaciones y usando trazas de transacciones para detectar discrepancias de ejecución.

En lugar de culpar a exchanges descentralizados individuales, Enso pidió a la industria más amplia de criptomonedas realizar investigaciones adicionales sobre la manipulación de simulaciones de transacciones.

“Si las simulaciones de transacciones pueden manipularse mientras que la ejecución real cuenta una historia diferente”, dijo Costantini, “necesitamos mejores maneras de verificar lo que realmente reciben los usuarios.”