CertiK alerta de una posible explotación de un bot "keeper" en el sistema de liquidaciones de MakerDAO

CertiK ha señalado un incidente que afectaría a un bot de liquidación tipo "keeper" vinculado al protocolo MakerDAO. Estos "keeper bots" son programas automatizados de terceros que supervisan las posiciones de colateral y ejecutan liquidaciones cuando una bóveda cae por debajo del ratio exigido. Son una pieza clave de la operativa, pero funcionan fuera de los contratos inteligentes centrales del protocolo. Ese matiz es relevante: un bot "keeper" comprometido no equivale a un fallo en el código base de MakerDAO. Aun así, el riesgo operativo puede ser elevado si el bot se manipula para omitir liquidaciones, ejecutarlas a precios desfavorables o si un atacante logra vaciar los fondos del monedero operativo del propio bot. CertiK ya ha advertido en otras ocasiones sobre el aumento de la superficie de ataque en la automatización de DeFi. Según ha señalado su CEO, los ataques en DeFi asistidos por IA están inclinando el terreno a favor de los atacantes. Los "keeper bots", que operan de forma autónoma y suelen custodiar monederos con fondos para gas, se convierten en objetivos evidentes. MakerDAO dispone de un portal específico para divulgación de seguridad en security.makerdao.com, considerado el canal autorizado para cualquier actualización oficial. Se recomienda seguir directamente esa fuente a medida que aparezcan detalles confirmados. Por qué los bots de liquidación son un objetivo de alto valor En el sistema de colateral de MakerDAO, los "keepers" compiten por liquidar posiciones infracapitalizadas y cobrar una comisión por liquidación. Si esos bots fallan o son manipulados, algunas bóvedas pueden quedar sin liquidar, exponiendo al protocolo a deuda incobrable. En episodios anteriores de estrés de mercado ya se han registrado pérdidas cuando la congestión de red y la ausencia de "keepers" impidieron ejecutar liquidaciones a tiempo. La explotación de un "keeper" puede adoptar varias formas: drenaje del saldo operativo del bot (ETH o stablecoins), "frontrunning" de sus llamadas de liquidación o inducción a que ejecute una transacción que beneficie al atacante en lugar de al protocolo. CertiK no ha confirmado cuál de estos vectores, si alguno, estaría relacionado con el caso. Este tipo de riesgo asociado a automatización de terceros no es exclusivo de MakerDAO. En un patrón similar, SlowMist alertó de un fallo en FlashLoopAdapter que permitió vaciar dos monederos Safe explotando infraestructura periférica, no la lógica central de los contratos. La superficie de ataque en DeFi se desplaza cada vez más hacia la capa de automatización, más que hacia el protocolo en sí. Otros proyectos ya han pagado un coste elevado por vulnerabilidades en componentes conectados: Maya Protocol perdió 1,7 millones de dólares en seis fallos distintos, y THORChain habría sufrido un exploit de 10 millones de dólares que afectó a activos "cross-chain". Ambos casos subrayan lo interconectada y frágil que puede ser la infraestructura DeFi cuando se atacan piezas periféricas. Qué vigilar a continuación Hasta que CertiK publique un análisis completo ("postmortem") o el equipo de seguridad de MakerDAO emita un comunicado oficial, el alcance del incidente sigue sin verificarse. Por el momento, no se han confirmado cifras de pérdidas, monederos afectados ni "hashes" de transacciones en la evidencia disponible. Lo que sí queda claro es que los "keeper bots" no son un elemento secundario: sostienen la operativa. Si un "keeper" de liquidación falla en un movimiento brusco de mercado, el mecanismo de solvencia del protocolo se debilita justo cuando más se necesita. Esa dependencia sistémica explica por qué un informe de este tipo merece atención incluso antes de contar con el cuadro completo. Queda por ver si el episodio llevará a MakerDAO a endurecer requisitos para bots de terceros o si pondrá de relieve una brecha más amplia en cómo los protocolos DeFi auditan la automatización que opera alrededor de sus contratos. Referencias adicionales: source document 1. Aviso: Este artículo es solo informativo y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos. Realiza tu propia investigación antes de tomar decisiones.