De dos vaults de lending del protocolo Affluent en la red TON — TON Lending Vault y USDT Lending Vault — entre el 30 de septiembre y el 16 de octubre se retiraron aproximadamente 782 mil Gram y 13,8 mil USDT, lo que equivale a unos $1,17 millones según el tipo de cambio en el momento de la retirada. Los depositantes de estos vaults no pueden retirar sus fondos: al 4 de noviembre, la wallet del USDT Lending Vault contiene 0,5 USDT, la wallet del TON Lending Vault tiene 82,8 Gram, y no hay pagos para las demás posiciones. Affluent no ha emitido ninguna declaración pública, informe sobre el incidente o plan de compensación.
Los afectados son los poseedores de los share tokens affTONl (42 direcciones al 4 de noviembre), affUSDTl (81 direcciones) y affUSDTm (70 direcciones).
Qué pasó con el dinero de los depositantes
| Vault | Share token | Estado al 4 de noviembre |
|---|---|---|
| TON Lending Vault | affTONl | 82,8 Gram en la wallet; la aplicación muestra $136.606 en los pools; no se pueden realizar depósitos ni retiros |
| USDT Lending Vault | affUSDTl | 0,5 USDT en la wallet; el vault tiene aproximadamente 17,1 mil USDT en los pools; no se pueden realizar depósitos ni retiros |
| USDT Multiply Vault | affUSDTm | aproximadamente $197 mil en activos, depósitos y retiros deshabilitados, 3 solicitudes de retiro por 113.076 USDT en cola |
| Ethena Vault, Gold Multiply Vault, Sentora Vault, GRAM Multiply Vault | — | la aplicación muestra $274 mil, $239 mil, $533 mil y $643 mil en activos |
En los datos de ambos vaults de lending, la tarifa mínima para depósitos y retiros se ha fijado en 10 mil millones de Gram, lo que significa que las operaciones están efectivamente cerradas. Sobre el papel, tienen posiciones en los lending pools — aproximadamente 108 mil Gram y 17,1 mil USDT —, pero desde el 19 de octubre, ninguna quema de share tokens ha resultado en pagos. En la tarjeta del USDT Lending Vault en la página app.affluent.org/earn se muestra un Net Asset de aproximadamente $999 mil millones, lo cual es consecuencia de un campo de contabilidad de fondos corrupto en el contrato, no una cantidad real.
El precio del share token affUSDTl el 7 de octubre era de 1,068 USDT: en una transacción se pagaron 5.340,12 USDT por 5.000 share tokens. Después del 16 de octubre, el share token vale aproximadamente 0,0000032 USDT: el 19 de octubre se pagaron 1.500,95 USDT por 466.366.695 share tokens.
Cómo funcionan los vaults
Affluent, anteriormente conocido como Factorial Finance, es un protocolo de lending en TON: su sitio web es affluent.org y su aplicación es app.affluent.org. El vault acepta depósitos y los distribuye entre los propios lending pools de Affluent, emitiendo share tokens al depositante. El valor del share token aumenta a medida que los pools generan intereses; al retirar, el share token se quema y el depositante recibe su parte de los activos del vault.
El contrato del vault emite share tokens simultáneamente: la dirección del vault es el master-contrato del token affUSDTl o affTONl. Por lo tanto, la minting de share tokens adicionales y la retirada de fondos son la misma operación.
Cómo se retiraron los fondos
Las transacciones muestran lo siguiente. El lending pool de Affluent aceptó una notificación falsa de recepción de tokens como si fuera real y la transmitió al vault, y el vault minteó share tokens por los cuales no se había depositado nada. Luego, estos share tokens se quemaron, y el vault pagó por ellos Gram y USDT reales de los depositantes. Ni Affluent ni el auditor han explicado la causa.
| Fecha (UTC) | Qué ocurrió | Recibido |
|---|---|---|
| 30 de septiembre, 04:36–05:21 | minting de 3.556.217 affTONl, 45 quemas | ≈505 mil Gram |
| 12 de octubre, 10:02–10:21 | 24 quemas de affTONl por la misma wallet | ≈126,8 mil Gram |
| 16 de octubre, 20:36–20:48 | minting de 10 mil millones de affUSDTl y 10 millones de affTONl, quema de share tokens | 13.824,93 USDT y 150.041 Gram |
En total, los vaults pagaron aproximadamente 781,6 mil Gram y 13,8 mil USDT. Según el tipo de cambio de Gram en la hora de cada ola ($1,52, $1,42 y $1,35), esto asciende a unos $1,17 millones; según el tipo de cambio del 4 de noviembre ($1,18), es de aproximadamente $0,93 millones. Inmediatamente después de la retirada, los fondos se dispersaron a otras direcciones: el 30 de septiembre, 504,8 mil Gram se enviaron en una sola transferencia, el 16 de octubre, 12.824 USDT se enviaron al bridge Symbiosis.
Desde el 19 de octubre hasta el 4 de noviembre, la minting y la quema se repitieron con seis nuevas wallets, y el 3 de noviembre, también con las dos originales, pero no se recibieron más pagos. Las últimas mintings de este tipo tuvieron lugar el 4 de noviembre a las 00:05 y 00:07 UTC, lo que significa que la vulnerabilidad en los contratos no se había cerrado en esa fecha.
Quién informó sobre esto y qué respondió el proyecto
Un análisis de las tres olas —con los hashes de las transacciones de la ola del 16 de octubre— fue publicado el 19 de octubre, y una investigación independiente, que estima las pérdidas en "~$1.1M", salió el 28 de octubre. Según el autor de la investigación, el 19 de octubre, miembros de la comunidad transmitieron los hallazgos al equipo de Affluent, pero no hay un informe público ni un plan de compensación.
Al 4 de noviembre, el sitio web y la aplicación de Affluent funcionan; no hay declaraciones sobre el incidente ni en el sitio web, ni en la documentación, ni en las publicaciones disponibles de la cuenta @AffluentOrg, y el enlace al canal de Telegram del proyecto desde el sitio web abre una tarjeta vacía sin feed.
Este no es el único caso de este tipo en TON este otoño: a finales de octubre, se produjeron retiradas anómalas desde el bridge BabyDoge.
Preguntas
¿Se puede retirar dinero de Affluent?
De TON Lending Vault y USDT Lending Vault, no: las wallets de los vaults casi no tienen fondos, no hay pagos por las posiciones en los pools, y la tarifa por las operaciones es prohibitiva. En USDT Multiply Vault, los retiros están deshabilitados y las solicitudes están en cola. Los demás vaults en la aplicación muestran activos.
¿Cuánto se retiró de los vaults de Affluent?
Aproximadamente 781,6 mil Gram y 13,8 mil USDT en tres olas el 30 de septiembre, 12 y 16 de octubre — unos $1,17 millones según el tipo de cambio en el momento de la retirada.
