Sistemas

Existen dos relatos incompatibles sobre lo que pasó el 31 de agosto en Injective. El oficial plantea que hubo una actualización coordinada que tardó más de lo previsto, la cadena siguió procesando transacciones y hablar de exploit o de halt es inexacto. El otro sale de los registros de la blockchain, que muestran un hueco de casi cuatro horas sin bloques y una salida de 4,88 millones de dólares.

Lectura de los bloques

El analista Rarma publicó los datos extraídos de nodos de archivo: el último bloque, el 181.027.006, quedó sellado a las 16:10:02 UTC. El siguiente, el 181.027.007, apareció a las 19:52:14. Tres horas y 42 minutos entre uno y otro.

El detalle importante es que la altura avanzó exactamente en uno a través de la costura. Todo lo ejecutado antes del corte quedó firme. Es lo contrario de lo que hizo Cronos días antes con su propio incidente.

Cómo funcionó el ataque

El objetivo fue el módulo de opciones binarias, un sistema sin permisos donde cualquiera puede crear y liquidar mercados. El atacante levantó 299 mercados de vida corta, cada uno apuntando a un oráculo configurado para no entregar precio al momento de la liquidación.

Cuando falta un precio válido, el protocolo cae en un mecanismo de reembolso. Ahí estaba el agujero. El atacante operaba contra sí mismo, comprando y vendiendo ambos lados del mercado desde sus propias subcuentas, sin contraparte real en ningún momento. Al dispararse el reembolso, retiraba cerca del doble de lo depositado. En la ventana que devolvió el indexador público, depósitos por 105.199 USDC produjeron retiros por 204.699. Dos por uno, repetido en transacciones atómicas, unos siete ciclos desde las 14:59 UTC.

El problema de fondo estaría en cómo Injective genera los identificadores de mercado, donde varios parámetros se combinan para formar un `market_id`, y esa construcción habría permitido colisiones entre mercados y denominaciones distintas. Con el reembolso activo, el sistema trataba saldos mínimos como suficientes para cubrir obligaciones mucho mayores.

El ataque se rompió solo

La cadena, ahogada bajo la carga de su propia explotación, estiró los tiempos de bloque hasta unos 38 minutos. Eso hizo que la marca temporal de liquidación de diez segundos que usaba el propio atacante venciera antes de que su transacción entrara. El último intento falló en el bloque 181.027.005 con el código de error 72: la marca de liquidación está en el pasado. Los validadores detuvieron la producción inmediatamente después.

El parche llegó como un commit a injective-core, no como una actualización sometida a gobernanza.

Los fondos salieron hacia Ethereum vía Circle CCTP y se cambiaron por ETH en Uniswap. Unos 1.979 ETH, equivalentes a 4,88 millones de dólares, quedaron concentrados en una sola dirección. La cuenta de Injective usada en el ataque deriva sus subcuentas de la misma dirección de Ethereum que puenteó el dinero, lo que ubica toda la operación en un único actor a ambos lados.

Conviene precisar de dónde salió ese dinero, porque ahí se resuelve la aparente contradicción con el comunicado. No fue de billeteras de usuarios ni de INJ en staking, sino de los fondos de seguro que respaldan los mercados de opciones binarias. Por eso Injective puede sostener con verdad que los saldos de sus usuarios quedaron intactos y haber perdido 4,88 millones al mismo tiempo.

La versión de Injective

El 1 de septiembre la red publicó su declaración oficial. Sostiene que sus contribuidores coordinaron una actualización acelerada que tardó más de lo esperado en completarse entre validadores e infraestructura del ecosistema, y que la blockchain e INJ se mantuvieron seguros durante todo el proceso.

Reconoce que un exploit afectó a un número limitado de aplicaciones del ecosistema que corren mercados de opciones binarias, y aclara que ni el protocolo, ni el consenso, ni los fondos de usuarios ni los activos en staking fueron comprometidos. Explica que, por lo acelerado del proceso, algunos validadores quedaron temporalmente encarcelados al no poder completarlo en la ventana requerida, lo que produjo una caída momentánea en el stake mostrado. Varios exchanges pausaron depósitos y retiros mientras actualizaban sus nodos.

Y es explícita en el punto que generó la polémica: los reportes que describieron los hechos como un exploit o un halt de la blockchain fueron inexactos. La red pasó por una actualización, no por una detención, y los sistemas subyacentes continuaron operativos.

Dónde chocan las dos versiones

Buena parte de lo que dice Injective se sostiene. Los fondos en staking no se perdieron, el consenso no fue vulnerado, no hubo reversión de estado y el ataque golpeó un módulo de aplicación, no el núcleo de la cadena. La distinción entre explotar una app y explotar la blockchain es técnicamente válida.

El problema está en dos afirmaciones puntuales. Que la cadena siguió procesando transacciones y que los sistemas se mantuvieron operativos no se puede sostener frente a un hueco de 3 horas y 42 minutos sin un solo bloque. Una red que no produce bloques no procesa nada, por definición.

Hay además un precedente que complica el argumento semántico, y viene de la propia empresa. La documentación oficial de Injective describe un episodio de febrero de 2022, cuando la red se detuvo en el bloque 7.941.974. Ahí el vocabulario fue directo. En su momento, un parche de emergencia coordinado entre validadores tras una detención se llamó exactamente así.

El silencio durante las cuatro horas

El otro cuestionamiento se basa en la comunicación. Paddy-earthling documentó que durante la ventana del corte la cuenta oficial de Injective publicó dos veces, ambas de marketing; el anuncio de que su SDK de agentes de IA estaba disponible y una invitación a puentear ETH a la red. Ninguna mención al problema.

La declaración oficial llegó al otro día. Entre medio, la información sobre lo que estaba pasando salió de analistas independientes leyendo nodos de archivo.

INJ cotiza alrededor de 4,88 dólares, contra 5,20 el 31 de agosto: una caída cercana al 6%. Es una reacción moderada, que merece contextualzación. El token venía de una racha fuerte, con un alza del 39% en una semana a fines de agosto impulsada por Bitcoin y dos noticias regulatorias puntuales, el registro de su brazo institucional como transfer agent ante la SEC el 19 de agosto, y la presentación de un ETF de INJ en staking el 24.

Por Sistemas, el 02/09/2026.

Historias relacionadas