Troves confirma un exploit en su vault xWBTC/WBTC de Starknet y estima pérdidas preliminares de 8,6 BTC
Troves informó de un exploit en su vault xWBTC/WBTC el 31 de octubre, con una pérdida preliminar de aproximadamente 8,6 BTC. La compañía señaló que, con la información revisada hasta el momento, el incidente quedó limitado a ese vault y no detectó impacto en otros cofres de la plataforma.
Según el aviso publicado por la firma de seguridad 0xCERT, el ataque estuvo relacionado con un contrato de rebalanceo heredado que conservó permisos después de haber sido reemplazado. Esa combinación habría permitido la explotación del vault afectado en Starknet.
Troves indicó que ya revocó los permisos vinculados al contrato y que pausó el vault afectado, además de otros que podrían haber quedado expuestos, como medida preventiva. La empresa también dijo que sigue investigando el alcance completo del incidente y trabajando con socios de seguridad para rastrear los fondos y evaluar opciones de recuperación.
Un contrato heredado quedó con permisos activos
En su comunicación pública, Troves explicó que el problema se originó en un mecanismo de rebalanceo antiguo que seguía con autorización operativa pese a haber sido sustituido. Ese detalle es relevante porque apunta a un fallo de control de permisos, no a un error generalizado en toda la plataforma, de acuerdo con lo que la propia compañía ha descrito hasta ahora.
La firma también afirmó que, por el momento, no ha identificado impacto en otros vaults de Troves. Aun así, el equipo mantiene la revisión abierta y dijo que publicará un postmortem con más detalles cuando las conclusiones estén verificadas.
Como parte del proceso de recuperación, Troves mencionó que envió un mensaje on-chain ofreciendo una recompensa de 1 WBTC a cambio de la devolución de los fondos restantes. La compañía no dio más detalles en ese momento sobre el estado de esa propuesta ni sobre la respuesta del destinatario.
El caso se suma a una nueva revisión del riesgo operativo en productos BTCFi desplegados sobre Starknet, donde la seguridad de contratos delegados y permisos residuales puede marcar la diferencia entre un incidente acotado y una exposición más amplia. En este caso, la propia Troves sostiene que el alcance estuvo restringido al vault xWBTC/WBTC, aunque la investigación sigue en curso.
