Gnosis confirma hackeo relacionado con Gnosis Pay y promete cubrir pérdidas

Gnosis confirmó un exploit activo relacionado con Gnosis Pay y el módulo Zodiac Delay, una capa de permisos utilizada en cuentas basadas en Safe. El cofundador Martin Köppelmann aseguró que la organización cubrirá todas las pérdidas de los usuarios mientras trabaja para contener el ataque y coordina pausas con validadores de puentes.

***

• Martin Köppelmann dijo que Gnosis cubrirá todas las pérdidas de usuarios afectadas por el exploit vinculado a Gnosis Pay.
• El ataque estaría relacionado con el módulo Zodiac Delay, que permite poner transacciones en cola antes de su ejecución.
• Gnosis pidió contener la actividad y coordina con validadores de puentes, aunque aún no hay cifra final de fondos afectados.

 

---

 

Gnosis, uno de los proyectos de infraestructura más antiguos, respetados y técnicamente avanzados del ecosistema Ethereum, confirmó este lunes un exploit activo vinculado a su producto de pagos cripto, Gnosis Pay.

El incidente fue informado por Martin Köppelmann, cofundador de Gnosis, quien dijo que el ataque está relacionado con el Zodiac Delay Module, una capa de permisos usada en ciertas cuentas basadas en Safe, y aseguró que cubrirá todas las pérdidas de los usuarios afectados. La firma de seguridad PeckShield también alertó sobre el exploit y pidió a los usuarios revisar su exposición.

“Desafortunadamente, hay un hack relacionado con Gnosis Pay y el ‘delay module’. Por favor tengan paciencia mientras intentamos contener el daño. Tengan la seguridad de que Gnosis cubrirá todas las pérdidas de los usuarios”, escribió Köppelmann en X, según reportó The Block.

El alcance del drenaje aún no había sido confirmado al momento de los reportes. Tampoco se había publicado un informe técnico completo sobre cuántas cuentas fueron afectadas, si los fondos ya fueron sustraídos o si toda la actividad del atacante fue detenida.

El problema está vinculado al módulo Zodiac Delay

De acuerdo con Köppelmann, el atacante puede iniciar transacciones desde wallets Safe que tienen instalado el módulo Zodiac Delay.

Ese módulo funciona como una capa de permisos que permite poner transacciones en cola antes de que se ejecuten. En condiciones normales, la demora ofrece una ventana de reacción para que el usuario detecte y bloquee movimientos no deseados. En el caso de Gnosis Pay, la documentación del producto indica que las cuentas usan un Delay Module y un Roles Module para habilitar pagos con tarjeta sin eliminar el control del usuario sobre su cuenta.

El problema, según las alertas iniciales, no estaría en los contratos centrales de Safe, sino en el sistema de Gnosis Pay que utiliza esa infraestructura de wallets inteligentes.

Esa distinción es importante. Gnosis Pay es un producto de Gnosis, la organización de infraestructura Ethereum cofundada por Köppelmann. Safe, anteriormente conocido como Gnosis Safe, se separó de Gnosis en 2022 como entidad independiente tras una ronda de financiamiento de USD $100 millones. Ambos proyectos siguen estrechamente conectados a nivel de infraestructura, pero el bug señalado por Köppelmann se ubica en el sistema de Gnosis Pay y no en los contratos centrales de Safe.

Gnosis pidió contención y coordinación con validadores

En una publicación inicial, Köppelmann recomendó a los usuarios de Gnosis Pay retirar fondos en EURe y GNO. Sin embargo, luego borró ese mensaje y publicó una actualización más matizada.

Según explicó, la mayoría de los usuarios no podría retirar fondos de inmediato, por lo que el equipo se concentró en contener el daño. “Creemos que podemos contener la mayoría del daño y, en cualquier caso, nos aseguraremos de que todos los usuarios sean compensados”, dijo.

Gnosis también indicó que está tomando varias medidas de contención, incluyendo solicitar a validadores de puentes que pausen actividad. Esa coordinación puede ser relevante porque los validadores de bridges pueden ayudar a ralentizar o impedir movimientos cross-chain de fondos potencialmente comprometidos.

La pausa de validadores no implica necesariamente que Gnosis Pay haya sido cerrado por completo. Los reportes disponibles apuntan más bien a una respuesta de emergencia para limitar el movimiento de activos mientras el equipo analiza la vulnerabilidad y determina el alcance real del exploit.

Una tarjeta cripto basada en autocustodia

Gnosis Pay es uno de los productos más visibles dentro del intento de llevar pagos cripto al uso cotidiano. La plataforma permite usar una tarjeta de autocustodia para gastar activos digitales en comercios que aceptan tarjetas Visa, conectando wallets inteligentes con infraestructura de pagos tradicional.

Ese diseño depende de una arquitectura compleja. Las cuentas de Gnosis Pay están basadas en Safe y usan módulos de contratos inteligentes para permitir pagos sin convertir la wallet en una cuenta completamente custodial. La ventaja es que el usuario conserva control sobre sus fondos. La desventaja es que el sistema necesita módulos de permisos, retrasos, roles y ejecución que amplían la superficie de ataque.

El exploit actual golpea justamente ese punto: no el concepto general de pagos cripto, sino el código y las configuraciones que permiten automatizar o autorizar movimientos desde billeteras inteligentes.

Para el usuario final, el incidente muestra una tensión clave en los productos cripto de uso diario. Cuanto más se parecen a una tarjeta bancaria tradicional en experiencia de usuario, más lógica adicional necesitan debajo: permisos, módulos, reglas, retrasos, puentes y validadores. Cada una de esas capas puede convertirse en un riesgo si no está correctamente diseñada, auditada y monitoreada.

Segundo incidente alrededor de módulos Safe en pocos días

La alerta llega pocos días después de otro exploit que afectó wallets Safe mediante un módulo de terceros.

En ese caso, un atacante drenó aproximadamente USD $3,2 millones de 86 Gnosis Safe wallets a través de un módulo vulnerable llamado SquidRouterModule. El incidente involucró una validación de identidad débil en un módulo no oficial, lo que permitió ejecutar calldata arbitraria sin requerir firmas de las wallets afectadas.

Squid aclaró posteriormente que el módulo no había sido desarrollado ni operado por su equipo. Aun así, el caso expuso un riesgo más amplio: las wallets inteligentes pueden ser muy seguras en su núcleo, pero volverse vulnerables cuando se les añaden módulos externos con permisos amplios o lógica defectuosa.

El nuevo incidente de Gnosis Pay refuerza esa preocupación. Aunque los detalles técnicos son distintos, ambos casos apuntan a un mismo tema: la seguridad de las wallets modulares depende tanto del contrato base como de cada extensión, módulo o permiso agregado por encima.

El reto de las wallets inteligentes

Safe se ha convertido en una de las infraestructuras más utilizadas para gestión de fondos, tesorerías DAO, cuentas multisig y productos de autocustodia avanzada. Su popularidad se debe a que permite agregar reglas, firmantes, módulos y automatizaciones sin depender de una cuenta simple de usuario.

Pero esa flexibilidad también introduce complejidad. Los módulos pueden autorizar acciones específicas, permitir integraciones con protocolos externos, programar transacciones o habilitar experiencias más fluidas para productos de pagos. Si esos módulos tienen errores, permisos excesivos o fallas de validación, pueden convertirse en rutas de ataque.

El caso de Gnosis Pay es especialmente sensible porque involucra un producto orientado a usuarios finales y pagos cotidianos, no solo tesorerías técnicas o usuarios avanzados de DeFi. La promesa de cubrir pérdidas busca contener el daño reputacional, pero también subraya que la experiencia de pagos cripto aún depende de infraestructura compleja y no exenta de riesgos.

Sin cifra final de pérdidas

Hasta ahora, Gnosis no ha publicado una cifra definitiva de fondos afectados ni un post-mortem técnico completo. The Block informó que el alcance del drenaje y la confirmación de pérdidas efectivas no estaban claros al momento de su reporte.

La promesa de Köppelmann de cubrir todas las pérdidas ofrece una garantía importante para usuarios, pero no resuelve todavía las preguntas operativas: cuántas cuentas fueron afectadas, cómo se explotó exactamente el módulo, si todos los fondos comprometidos fueron contenidos y qué cambios se harán para evitar incidentes similares.

El episodio también llega en un momento delicado para la seguridad cripto. Mayo cerró con pérdidas por exploits muy por debajo de abril, según CertiK, pero los ataques contra puentes, módulos, claves privadas y wallets inteligentes siguen mostrando que la infraestructura de autocustodia avanzada continúa siendo un blanco relevante.

Para Gnosis, el desafío inmediato será contener el ataque y compensar a los usuarios. El desafío más amplio será demostrar que los módulos que permiten llevar pagos cripto al mundo real pueden operar con el mismo nivel de seguridad que los usuarios esperan de una wallet autocustodial.

Mientras tanto, el incidente deja una lección para todo el sector: en las wallets inteligentes, la seguridad no termina en el contrato principal. Cada módulo agregado puede ampliar funciones, pero también abrir una nueva puerta al riesgo.

---

Imagen de Unsplash

Este artículo fue escrito por un redactor de contenido de IA