Mixin Network perdió 200 millones de dólares en una brecha de base de datos en la nube: a los usuarios se les dijo que asumieran la mitad

En las primeras horas del 23 de septiembre de 2023, los atacantes vulneraron la base de datos del proveedor de servicios en la nube de Mixin Network y se llevaron unos 200 millones de dólares en activos de la red principal. Mixin —una red de transferencias entre cadenas que afirma tener un millón de usuarios, aproximadamente 1000 millones de dólares en activos bajo custodia y soporte para 48 cadenas de bloques— suspendió todos los depósitos y retiros y recurrió a Google y a la firma de seguridad SlowMist.

La respuesta reflejó la estructura real de la empresa. Un mensaje en la cadena ofreció al ladrón una recompensa de 20 millones de dólares por devolver el botín, y el fundador Feng Xiaodong dijo a los usuarios en una transmisión en vivo en mandarín que Mixin restauraría hasta el 50 % de los fondos robados, mientras que el resto se convertiría en tokens de bonos que la empresa prometió recomprar más adelante. Los críticos señalaron la ironía de que una infraestructura "descentralizada" fallara en una sola base de datos en la nube.

La brecha se produjo en el peor tramo de 2023 para las vulneraciones de criptomonedas de terceros: días antes, Elliptic había atribuido al Grupo Lazarus de Corea del Norte el robo de 54 millones de dólares de CoinEx, y Mixin fue la tercera empresa de criptomonedas en una semana afectada a través de un proveedor, después de OpenSea y Nansen. El balance de Mixin no podía absorber una pérdida equivalente a una quinta parte de su capital como podría hacerlo el de un gran exchange, por lo que la mitad se trasladó a los registros de los usuarios como papel.

Unos 200 millones de dólares en criptomonedas de los usuarios —aproximadamente el 20 % del capital de la empresa; depósitos y retiros congelados; a los usuarios se les ofreció la mitad de su dinero de vuelta, la otra mitad en pagarés (IOU)

Mantener la custodia detrás de la base de datos de un único proveedor de servicios en la nube recreó exactamente el punto central que un protocolo descentralizado existe para eliminar.

Una recompensa de 20 millones de dólares sobre un botín de 200 millones admitió que la empresa no podía recuperar los fondos técnicamente y esperaba que el ladrón negociara.

La promesa de restauración del 50 % más los tokens de bonos convirtieron un fallo operativo en deuda asumida por los usuarios mientras mantenían viva a la empresa.

Las brechas de proveedores en OpenSea, Nansen y CoinEx el mismo mes mostraron que la infraestructura de terceros forma parte de la superficie de ataque, no queda fuera de ella.

Un protocolo puede llamarse descentralizado mientras el dinero de sus usuarios está detrás de una sola base de datos en la nube. Cuando la custodia está centralizada, las pérdidas recaen sobre quien tiene el reclamo más débil: por lo general, los usuarios.

Los depósitos y retiros permanecieron suspendidos mientras Mixin trabajaba en las correcciones de la vulnerabilidad, con la transmisión en vivo del fundador y el mensaje de recompensa en la cadena como contabilidad pública de la empresa. El plan de restauración del 50 % más tokens de bonos puso la mitad faltante del dinero de los usuarios en sus propios registros hasta que Mixin pudiera recomprar los pagarés. La brecha cerró un trimestre brutal para la infraestructura de criptomonedas de terceros: OpenSea y Nansen fueron vulnerados a través de proveedores, CoinEx fue drenado de 54 millones de dólares en un asalto que Elliptic atribuyó a Lazarus, y casi 240 millones de dólares fueron tomados en cinco ataques en los 104 días anteriores a la caída de Mixin.