Explotación de Arkadiko Finance: ¿Cómo un ataque de gobernanza DAO drenó $1.09M?

La explotación de Arkadiko Finance el 22 de octubre de 2026 expuso una grave debilidad en la gobernanza descentralizada después de que un atacante manipuló un voto de DAO para obtener control sobre funciones críticas del protocolo.

El incidente resultó en aproximadamente $1.09 millones en pérdidas, el robo de colateral de stSTX y sBTC, y un colapso abrupto en el valor de la stablecoin USDA. A diferencia de los hackeos de contratos inteligentes convencionales, el atacante utilizó el proceso de gobernanza legítima de Arkadiko para autorizar código malicioso.

Examinaremos cómo se desarrolló el ataque, por qué fallaron las salvaguardias existentes y qué significa el incidente para la seguridad y recuperación de DeFi.

Conclusiones Clave

• La explotación de Arkadiko Finance ocurrió el 22 de octubre de 2026, cuando un atacante utilizó la Propuesta 12 para autorizar un contrato malicioso y drenar aproximadamente $1.09 millones en activos.
• El atacante controló 4.57 millones de votos de gobernanza DIKO, retiró colateral de stSTX y sBTC, y acuñó aproximadamente 1.5 mil millones de tokens USDA sin respaldo, desencadenando un despegue de la stablecoin.
• Arkadiko posteriormente desactivó el contrato malicioso, reabasteció el colateral de las bóvedas afectadas y restauró las operaciones legítimas de las bóvedas, pero estas medidas no establecieron una recuperación financiera total ni restauraron el anclaje de USDA.

¿Qué Sucedió en la Explotación de Arkadiko Finance?

(fuente de la imagen: bitquery.com)

El hackeo de Arkadiko fue una toma de control de gobernanza dirigida a Arkadiko Finance, un protocolo de préstamos descentralizado y stablecoin que opera en Stacks, una red blockchain conectada a Bitcoin.

Arkadiko permite a los usuarios depositar criptomonedas en bóvedas colateralizadas y pedir prestado USDA, su stablecoin vinculada al dólar. Su token DIKO proporciona derechos de gobernanza, permitiendo a los titulares aprobar propuestas que modifican las operaciones del protocolo.

El 22 de octubre, un atacante explotó este sistema de toma de decisiones al aprobar la Propuesta 12, que introdujo un contrato de operaciones de bóveda malicioso. El contrato aprobado contenía funciones capaces de transferir colateral y acuñar USDA sin la autorización adecuada del llamador.

Las investigaciones de blockchain realizadas por Bitquery y BlockintAI identificaron el incidente como un ataque de gobernanza en lugar de un compromiso del consenso de la blockchain de Stacks. El atacante no necesitó robar la clave privada de un administrador. En cambio, el mecanismo de gobernanza en sí otorgó al contrato malicioso la autoridad sobre operaciones sensibles del protocolo.

¿Cómo Funcionó el Ataque de Gobernanza de Arkadiko?

La explotación de gobernanza de Arkadiko se desarrolló durante varios días, comenzando con una propuesta de actualización de protocolo aparentemente legítima y terminando con la rápida extracción de colateral.

1. Se Presentó una Propuesta Maliciosa

El 17 de octubre de 2026, una billetera controlada por un atacante presentó la Propuesta 12, titulada "AIP 32 - Actualizar Operaciones de Bóvedas para Distribución de Recompensas." La propuesta parecía describir una mejora rutinaria para la distribución de recompensas.

Sin embargo, el contrato adjunto, llamado arkadiko-vaults-operations-v2-1, introdujo funciones que podían mover colateral de la bóveda y crear USDA sin restricciones adecuadas de acceso. La propuesta buscaba registrar ese contrato como el componente autorizado de operaciones de bóveda de Arkadiko.

2. El Atacante Adquirió Poder de Votación DIKO

Las reglas de gobernanza de Arkadiko requerían una participación suficiente de DIKO para aprobar una propuesta. Según las investigaciones en la cadena, el atacante acumuló aproximadamente 4,573,197 DIKO, incluyendo alrededor de 3.39 millones de DIKO comprados poco antes de la votación.

Bitquery estimó que las compras de tokens de votación costaron aproximadamente $51,000. El atacante emitió los votos el 22 de octubre. No se registraron votos en oposición, permitiendo que la propuesta satisficiera las condiciones de aprobación requeridas.

3. La Propuesta 12 Otorgó Control de la Bóveda

Aproximadamente a las 16:04 UTC del 22 de octubre, la propuesta fue ejecutada. El proceso de gobernanza registró el contrato malicioso como un componente autorizado de operaciones de bóveda.

Crucialmente, el sistema no impuso un período de espera separado entre la ejecución exitosa de la gobernanza y la recepción de nueva autoridad por parte del contrato. Esto significó que el atacante pudo utilizar inmediatamente las funciones aprobadas a través del voto de DAO.

4. El Atacante Drenó Colateral y Acuñó USDA

Dentro de minutos de la ejecución, el atacante utilizó el contrato malicioso para retirar colateral y acuñar USDA sin respaldo. Las investigaciones en la cadena identificaron retiros de aproximadamente 2.07 millones de stSTX y 1.65 sBTC del grupo de bóvedas.

El atacante también acuñó aproximadamente 1.5 mil millones de USDA a través de emisión no autorizada. Una parte de esos tokens recién creados fue intercambiada por otros activos, extrayendo valor adicional de los pools de liquidez de Arkadiko.

5. Los Activos Robados Fueron Transferidos a Través de Redes

Tras la explotación, el atacante convirtió y transfirió activos a través de múltiples redes de blockchain. Bitquery rastreó transferencias asociadas que involucraban STX, Bitcoin, USDCx, Ethereum y Tornado Cash.

Su investigación identificó aproximadamente 4.86 BTC transferidos a Bitcoin y alrededor de 213.3 ETH depositados posteriormente en Tornado Cash. Estas transacciones ilustran cómo las transferencias y conversiones de activos entre cadenas pueden complicar los esfuerzos para rastrear y recuperar criptomonedas robadas.

¿Cuánto Se Perdió en el Hackeo de Arkadiko?

Bitquery estimó que la explotación de Arkadiko Finance causó aproximadamente $1.09 millones en pérdidas, medida utilizando valoraciones de activos alrededor del incidente. Las pérdidas estimadas se distribuyeron entre retiros de colateral y transacciones de pools de liquidez.

El atacante también acuñó aproximadamente 1.5 mil millones de USDA, pero esta cifra no debería interpretarse como $1.5 mil millones en fondos robados. La mayor parte del suministro no autorizado de USDA fue quemada posteriormente antes de que pudiera circular.

El cálculo de la pérdida económica incluye en su lugar la garantía real tomada y los activos extraídos a través de intercambios. Una estimación más amplia de $1.16 millones que aparece en algunas investigaciones incluye incidentes relacionados con StackSwap, que deben distinguirse de las pérdidas directas de Arkadiko.

¿Por qué perdió USDA su anclaje con el dólar?

USDA perdió su anclaje con el dólar porque la explotación dañó tanto su respaldo de colateral como la confianza en sus mecanismos de redención. USDA está diseñado para mantener un valor cercano a $1 a través de préstamos colateralizados e incentivos de redención.

En condiciones normales, los usuarios pueden intercambiar USDA a través del mecanismo de redención del protocolo por valor de colateral, ayudando a corregir las desviaciones del mercado. El ataque a la gobernanza interrumpió esa relación de dos maneras.

Primero, el atacante retiró un colateral sustancial del sistema de bóveda. En segundo lugar, la emisión no autorizada de USDA aumentó la cantidad de tokens que potencialmente competían por la liquidez disponible. El atacante vendió parte del USDA recién acuñado, añadiendo más presión de venta.

Bitquery informó que algunas ventas de USDA relacionadas con el atacante ocurrieron a aproximadamente $0.13 por token durante el incidente. Aunque Arkadiko luego quemó más del 99% de la emisión no autorizada, la quema de tokens no devolvió automáticamente el colateral robado ni restauró la funcionalidad normal de redención.

Por lo tanto, el colapso del precio de USDA reflejó una crisis subyacente de confianza y colateral, no simplemente la volatilidad ordinaria de las criptomonedas.

Planes de recuperación de Arkadiko Finance y restauración del control de la bóveda

(fuente de la imagen: daemontechnologies.co)

La respuesta inicial de Arkadiko se centró en detener más actividades no autorizadas y abordar la escasez de colateral. Después de la explotación, el equipo informó haber desactivado el contrato malicioso, pausando la gobernanza y suspendiendo redenciones y liquidaciones.

El protocolo también informó haber contactado a los intercambios sobre fondos potencialmente robados y buscando asistencia de las fuerzas del orden.

Reabastecimiento de colateral y acceso a la bóveda

En su actualización del 25 de octubre, Arkadiko declaró que se había depositado colateral adicional en los contratos de bóveda afectados. Según esa actualización, las bóvedas tenían suficiente colateral para retiros, y los usuarios podían pagar la deuda pendiente.

Sin embargo, las redenciones de USDA permanecieron pausadas, y el equipo informó que el USDA se intercambiaba cerca de $0.30 en ese momento. Esta distinción importa porque reabastecer el colateral de la bóveda utilizando recursos del protocolo no significa necesariamente que el atacante haya devuelto los activos robados.

La Propuesta 14 restauró las operaciones legítimas de la bóveda

El 27 de octubre de 2026, la gobernanza de Arkadiko ejecutó la Propuesta 14, titulada "AIP 32.2 - Restaurar operaciones de la bóveda." La propuesta restauró el arkadiko-vaults-operations-v1-3 contrato como el componente autorizado de operaciones de la bóveda.

Esta decisión de gobernanza invirtió el registro del contrato malicioso introducido a través de la Propuesta 12. Sin embargo, restaurar el control del contrato no estableció de manera independiente que USDA hubiera recuperado su anclaje o que cada participante afectado hubiera recibido compensación.

A partir del 3 de noviembre, la información revisada públicamente no estableció la recuperación completa de los activos robados ni la normalización total de las redenciones de USDA.

¿Podría el Módulo de Seguridad de Arkadiko cubrir las pérdidas?

La documentación de Arkadiko describe un Módulo de Seguridad destinado a proporcionar protección limitada contra la mala deuda del protocolo. Según su diseño documentado, hasta el 30% de los tokens DIKO apostados en el módulo pueden ser utilizados para cubrir pérdidas calificadas a través de una acción aprobada por la gobernanza.

Sin embargo, la existencia de este mecanismo no garantiza compensación. Si puede ser activado, cuánto valor podría proporcionar y si la gobernanza aprobaría su uso para este incidente requieren confirmación separada.

¿Cómo afectó la explotación el TVL de Arkadiko y el ecosistema Stacks?

El ataque causó una drástica reducción en el valor total bloqueado de Arkadiko, o TVL, que mide los activos mantenidos dentro de un contratos inteligentes del protocolo DeFi. Según los datos históricos de DefiLlama, el TVL de Arkadiko disminuyó de aproximadamente $1.43 millones el 22 de octubre a $141,585 el 23 de octubre, representando una caída de aproximadamente 90%.

Para el 25 de octubre, el valor rastreado había caído a aproximadamente $131,714. Aunque el posterior reabastecimiento de colateral aumentó el TVL reportado, esos cambios por sí solos no demuestran una recuperación completa de la confianza del usuario o funcionalidad del protocolo.

La conexión entre Arkadiko y StackSwap

Los investigadores también identificaron un ataque de gobernanza relacionado contra StackSwap, otro intercambio descentralizado que opera en Stacks. El incidente de StackSwap ocurrió antes, con billeteras vinculadas al atacante utilizando una propuesta de actualización engañosa para tomar el control de las operaciones del fondo de liquidez.

Bitquery estimó aproximadamente $70,500 en pérdidas combinadas de dos tomas de control de la gobernanza de StackSwap. Una toma de control estaba vinculada a través de financiación de billeteras y transferencias de activos al ataque posterior de Arkadiko.

Los investigadores no establecieron que cada billetera involucrada en los incidentes separados de StackSwap perteneciera al mismo atacante. Estos incidentes expusieron debilidades en los sistemas de gobernanza de aplicaciones individuales en lugar de demostrar un compromiso de la red Stacks subyacente.

¿Qué revela la explotación de Arkadiko sobre la seguridad de la gobernanza DAO?

La explotación de Arkadiko Finance demuestra que la votación descentralizada no garantiza automáticamente una toma de decisiones segura. Una propuesta de gobernanza puede satisfacer los requisitos técnicos de votación mientras autoriza un comportamiento dañino de contratos inteligentes. Varias debilidades contribuyeron a este incidente:

• Poder de votación concentrado: Un atacante adquirió suficientes DIKO para aprobar una propuesta relevante sin una oposición significativa.
• Participación limitada en la votación: Ningun voto opositor desafió la Propuesta 12 antes de su ejecución.
• Insuficiencias en las salvaguardias del contrato: El contrato aprobado contenía funciones que carecían de la autorización adecuada del llamador.
• Sin retraso en la ejecución separada: El atacante pudo utilizar el contrato recién autorizado inmediatamente después de la ejecución de la propuesta.
• Revisión débil de gobernanza: Una propuesta presentada como una actualización de rutina introdujo cambios altamente sensibles en la gestión de activos y permisos de acuñación.

Para los protocolos DeFi, las posibles salvaguardias incluyen instantáneas históricas del poder de voto, bloqueos temporales, revisiones independientes de propuestas, permisos de contrato restringidos y monitoreo activo de gobernanza.

Estos controles reducen oportunidades de ataque particulares pero no pueden eliminar cada vulnerabilidad potencial. Para los usuarios, evaluar la seguridad de un proyecto DeFi también significa evaluar la concentración de gobernanza, procedimientos de actualización, condiciones de liquidez y capacidades de respuesta ante incidentes en lugar de confiar únicamente en auditorías de contratos inteligentes.

Conclusión

La explotación de Arkadiko Finance ilustra cómo un sistema de votación DAO legítimo puede convertirse en un vector de ataque cuando la autoridad de gobernanza no está suficientemente restringida. El incidente del 22 de octubre causó pérdidas de aproximadamente $1.09 millones, interrumpió la paridad del dólar de USDA y expuso debilidades en la autorización de contratos y la participación en la gobernanza.

Las acciones subsiguientes de Arkadiko restauraron el control legítimo del fondo y reabastecieron el colateral afectado, pero la recuperación del contrato y la recuperación financiera son resultados separados.

Antes de interactuar con Arkadiko o protocolos DeFi similares, los usuarios deben verificar la disponibilidad actual de redención, liquidez de stablecoin, protecciones de gobernanza y anuncios oficiales de recuperación.

Los lectores interesados en monitorear los mercados de criptomonedas pueden explorar Bitrue Exchange, mientras que actualizaciones adicionales de seguridad blockchain y recursos educativos están disponibles a través del Blog de Bitrue.

Preguntas Frecuentes

¿Qué causó la explotación de Arkadiko Finance?

La explotación de Arkadiko Finance fue causada por un atacante que utilizó la gobernanza DAO para autorizar un contrato de operaciones en la bóveda malicioso. La Propuesta 12 pasó con votos de DIKO controlados por el atacante y otorgó al contrato acceso a funciones de gestión de colateral y acuñación de USDA.

¿Cuánto criptomoneda fue robada de Arkadiko?

Bitquery estimó que aproximadamente $1.09 millones en activos se perdieron durante el incidente del 22 de octubre de 2026. Los activos afectados incluyeron stSTX, sBTC y STX obtenidos a través de intercambios involucrando emisión no autorizada de USDA.

¿Por qué perdió USDA su paridad después del hackeo de Arkadiko?

USDA perdió su paridad después de que el atacante drenó el colateral de apoyo y acuñó una gran cantidad de tokens no respaldados. La presión de venta resultante, la funcionalidad de redención afectada y la incertidumbre sobre la disponibilidad del colateral socavaron la confianza del mercado.

¿La votación de gobernanza de Arkadiko restauró el control de la bóveda?

Sí. El 27 de octubre de 2026, la Propuesta 14 restauró el contrato legítimo de operaciones de la bóveda de Arkadiko. Sin embargo, este cambio de gobernanza no recuperó por sí mismo los activos robados ni garantizó que las redenciones y precios de USDA hubieran vuelto a la normalidad.

¿Ha recuperado completamente Arkadiko Finance de la explotación?

Una recuperación completa no se había establecido de manera independiente hasta el 3 de noviembre de 2026. Arkadiko reportó reabastecer el colateral de la bóveda y restaurar el control legítimo del contrato, pero la recuperación total de activos robados, la restauración de la paridad de USDA y la compensación integral permanecieron no resueltas o insuficientemente verificadas.

Descargo de responsabilidad: Las opiniones expresadas pertenecen exclusivamente al autor y no reflejan las opiniones de esta plataforma. Esta plataforma y sus afiliados declinan cualquier responsabilidad por la exactitud o idoneidad de la información proporcionada. Es solo para fines informativos y no está destinada como consejo financiero o de inversión.