Un fallo en el router de Ethereum de BonfireSwap permitió drenar fondos aprobados por usuarios
BonfireSwap reconoció un incidente en su router Huff sobre Ethereum después de que una debilidad en la forma de procesar el calldata permitiera que datos controlados por un atacante consumieran aprobaciones ERC-20 ya concedidas por usuarios, según su informe oficial del incidente. La compañía sitúa el drenaje en torno a 1,42 millones de dólares.
La mecánica del ataque afecta a un punto sensible de DeFi: cuando un usuario aprueba a un router para mover sus tokens, esa autorización puede permanecer activa hasta que se revoca. En este caso, el contrato afectado quedó expuesto a que calldata manipulada ejecutara transferencias desde direcciones que ya habían aprobado el router.
Lo que mostraron los rastreadores de seguridad
Rastreadores especializados también identificaron el problema en BonfireSwap y lo vincularon con unas 65 direcciones aprobadas y cerca de 66 BNB drenados, mientras advertían que las aprobaciones residuales hacia ese router seguían representando un riesgo hasta ser revocadas. Esa lectura encaja con el patrón descrito por el propio equipo en su post-mortem.
El punto central no es solo la pérdida ya registrada, sino la persistencia de las autorizaciones. En este tipo de incidentes, el daño potencial no termina con la primera extracción si siguen existiendo approvals válidos hacia el contrato comprometido.
Por ahora, el caso deja a los usuarios de BonfireSwap con una instrucción práctica: revisar y revocar las aprobaciones que mantengan hacia el router afectado. El incidente vuelve a mostrar que, en Ethereum, una autorización antigua puede convertirse en una vía de drenaje cuando el contrato al que apunta queda comprometido.
