Ekubo Hack

Ekubo es un exchange descentralizado que empezó en Starknet y después se expandió a Ethereum y Arbitrum. Para abaratar allí los intercambios, creó unos routers especiales que ahorran gas, y los usuarios aprobaban estos routers para poder operar con sus tokens. Ekubo decidió no someter estos routers a una auditoría porque los consideraba de bajo riesgo. El 5 de mayo de 2026, unos atacantes descubrieron que, añadiendo datos extra al final de una solicitud de intercambio normal, podían engañar a los routers para que tomaran tokens de la cartera de otra persona. Esto les permitió gastar las autorizaciones de tokens de cualquiera que hubiera aprobado los routers.

Los atacantes se llevaron cerca de 1,42 millones de dólares en decenas de transacciones rápidas en Ethereum, sobre todo en WBTC, junto con cantidades menores de cbBTC, USDC y otros tokens. En Arbitrum solo se llevaron una cantidad ínfima. Ekubo advirtió rápidamente a los usuarios de que revocaran sus autorizaciones, y su sitio web dejó de solicitar nuevas autorizaciones a los routers afectados. Sus contratos principales, sus proveedores de liquidez y su despliegue en Starknet no se vieron afectados. Ekubo publicó un informe post-mortem detallado y un plan de reembolso que propone devolver las pérdidas en los mismos tokens que se robaron, con un límite por dirección.

Los routers afectados no se pueden modificar, así que seguirán siendo vulnerables mientras existan autorizaciones a ellos. Ekubo corrigió el error para los futuros routers, y su sitio web ahora avisa a los usuarios que aún tienen autorizaciones a los antiguos. Quien haya aprobado los routers de Ekubo en Ethereum o Arbitrum debería revocar ya esas autorizaciones, sobre todo las ilimitadas. El plan de reembolso de Ekubo también pide a los usuarios afectados que revoquen las autorizaciones ilimitadas que les queden antes de recibir el pago. Desde entonces, Ekubo ha propuesto un estándar para autorizaciones de tokens que caducan automáticamente, y planea dar a los futuros routers una fecha de caducidad.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.