Swell investiga tasas infladas de swETH y rswETH tras una presunta intrusión

Swell investiga una presunta intrusión en sus llaves calientes que habría elevado las tasas en cadena de swETH y rswETH sin nuevo ETH como respaldo. Un investigador alerta que cuatro actualizaciones maliciosas podrían poner en riesgo 2.513 ETH, aunque no se confirmó ninguna pérdida y el equipo asegura que el protocolo sigue operativo.
***

• El investigador de seguridad Spreek atribuye a un actor no identificado el control del bot oráculo y otras llaves calientes de Swell desde el 21 de octubre.
• Las tasas reportadas de swETH y rswETH aumentaron al límite permitido por el sistema, sin que ingresara nuevo ETH para respaldarlas.
• Cuatro actualizaciones cargadas podrían barrer 2.513 ETH si se ejecutaran, pero todavía no se han activado y no se reportaron retiros de los contratos afectados.

---

Swell investiga una presunta intrusión en sus llaves

Las tasas de swETH y rswETH subieron sin nuevo ETH como respaldo, según un investigador.

Cuatro actualizaciones pendientes podrían exponer 2.513 ETH. No se reportan pérdidas ni retiros. pic.twitter.com/DU9k8w1QaQ

— Diario฿itcoin (@DiarioBitcoin) October 22, 2026

Swell investiga una actividad sospechosa que, según el investigador de seguridad Spreek, habría permitido a un actor no identificado controlar llaves calientes del protocolo y alterar las tasas de swETH y rswETH. La alerta también apunta a cuatro actualizaciones maliciosas que podrían exponer 2.513 ETH si llegaran a ejecutarse, aunque hasta ahora no se ha confirmado una pérdida ni la activación de esos cambios.

El equipo de Swell afirmó que no se retiró ni depositó ETH en los contratos afectados y que el protocolo continúa plenamente operativo. La diferencia entre los valores reportados en cadena y los precios observados en exchanges descentralizados añade otra preocupación: algunos sistemas podrían interpretar una tasa inflada como señal de mayor respaldo, aunque el mercado no la refleje en la misma medida.

La alerta apunta a las llaves calientes y al bot oráculo

De acuerdo con Spreek, el actor habría tenido control de las llaves calientes operativas de Swell desde las 14:25 UTC del 21 de octubre de 2026. Entre ellas estaría la clave asociada al bot oráculo que comunica en la cadena los tipos de cambio de swETH y rswETH, una función relevante porque otros componentes del protocolo pueden utilizar esos datos para valorar los tokens.

Las llaves calientes son claves privadas conectadas a sistemas en línea, empleadas para que bots y servicios automáticos firmen operaciones rutinarias. Esa disponibilidad facilita la gestión del protocolo, pero también hace que el control de las claves dependa de la seguridad de la infraestructura y de los permisos que permiten publicar datos o ejecutar acciones.

Un oráculo, en este contexto, transmite información externa o calculada a los contratos inteligentes para que estos puedan utilizarla. Si alguien logra modificar el dato que entrega, el sistema puede mostrar una valoración distinta de la que surgiría de las operaciones de mercado, aun cuando no haya entrado más ETH a respaldar los tokens.

La investigación no identifica públicamente al supuesto responsable ni establece de forma concluyente cómo obtuvo acceso a las claves. Spreek señaló una posible relación con la plataforma de infraestructura en la nube Railway, pero esa conexión no está confirmada y no debe entenderse como una atribución definitiva del incidente.

Las tasas subieron sin nuevo ETH como respaldo

Según el reporte, después de obtener el control de las claves, el actor empezó a elevar las tasas de ambos tokens en el límite que permite el sistema: 1% por hora. La restricción reducía la velocidad con la que podía acumularse el cambio, pero no impedía que la cifra creciera con el paso de las horas mientras las actualizaciones continuaran.

Para el 22 de octubre, la tasa de swETH se había elevado aproximadamente 3,0% por encima de 1,133254 ETH, mientras que la de rswETH estaba cerca de 2,0% por encima de 1,082464 ETH. Spreek advirtió que esos aumentos no correspondían a depósitos nuevos de ETH en los contratos que respaldan o gestionan los tokens.

La diferencia entre una tasa reportada por el protocolo y el precio al que un token se negocia es importante para entender el alcance potencial del problema. La primera puede servir como referencia para operaciones internas o para otras aplicaciones, mientras que el segundo refleja transacciones efectivas en mercados donde compradores y vendedores aceptan un precio.

Crypto Briefing reportó que los precios en exchanges descentralizados solo habían recogido una fracción de la inflación señalada en las tasas en cadena. Ese desfase sugiere una posible dislocación entre la valoración informada por Swell y el precio disponible en el mercado, pero el reporte no establece una cifra única para esa diferencia.

Cuatro cambios pendientes y 2.513 ETH expuestos

El reporte de Spreek también identificó cuatro contratos de actualización descritos como maliciosos. Si esos cambios se hubieran ejecutado a través del timelock de Swell, podrían haber extraído aproximadamente 2.513 ETH de varios contratos; sin embargo, las actualizaciones estaban cargadas, pero no activadas al momento de la alerta.

El timelock es un mecanismo que introduce una espera entre la programación de una operación y su posible ejecución. En este caso, ese intervalo es crucial porque deja abierta la posibilidad de que la gobernanza o el equipo del protocolo bloquee o cancele los cambios antes de que puedan afectar los fondos.

La cifra de 2.513 ETH representa una exposición potencial descrita por el investigador, no una pérdida confirmada ni una cantidad que ya haya sido retirada. Swell indicó que no se había depositado ni extraído ETH de los contratos afectados, una declaración que distingue el riesgo asociado a las actualizaciones pendientes de un drenaje consumado.

La información disponible no confirma si las cuatro actualizaciones fueron finalmente canceladas ni cuál sería el siguiente paso de la investigación. Por eso, el estado del timelock y la capacidad de impedir su ejecución siguen siendo elementos centrales para determinar si la exposición potencial llegará a materializarse.

Qué implica para usuarios y otros protocolos DeFi

Swell dijo que investigaba la actividad sospechosa y sostuvo que el protocolo seguía plenamente operativo. La afirmación reduce la posibilidad de interpretar la alerta, por sí sola, como una interrupción general del servicio; no obstante, la investigación aún deja preguntas abiertas sobre el origen del acceso y el estado final de las actualizaciones preparadas.

El valor total bloqueado de Swell se situaba en torno a USD $29,41 millones el día del reporte. La capitalización de mercado de rswETH variaba entre USD $27 millones y USD $58 millones según la fuente de datos, una amplitud que refleja diferencias entre proveedores y no equivale a una medida precisa de los fondos expuestos en los contratos mencionados.

El reporte indicó que los recintos de terceros no estaban afectados y que no se había producido un drenaje de plataformas externas. Aun así, cualquier aplicación que use la tasa en cadena para valorar swETH o rswETH podría, en teoría, contabilizar un colateral con una apariencia más sólida que la sugerida por los precios de mercado.

La alerta también plantea una lección sobre la superficie de seguridad de los protocolos: los contratos inteligentes no operan aislados de los bots, las llaves y los servicios que mantienen sus funciones. Si se confirmara un vínculo con Railway, el caso apuntaría a una infraestructura externa como posible eslabón débil, aunque por ahora esa conexión continúa sin verificarse.

Los hallazgos de la investigación mencionan que herramientas de inteligencia artificial ayudaron parcialmente a documentar la presunta intrusión. Esa participación no valida por sí misma los detalles publicados, y el reporte advierte que algunos aspectos de la descripción pública todavía no cuentan con confirmación independiente; por ello, las cifras de tasas y exposición deben leerse con su atribución correspondiente.