Conclusiones clave:
Un atacante aprovechó una mala configuración de gobierno en el Aragon DAO de Token of Power, drenando $1,58 millones de un pool de Balancer V1 el 9 de junio.
"Los proyectos que usen implementaciones de gobierno similares de Lido/Aragon deben revisar cuidadosamente su distribución de poder de voto, quórum, umbrales de aprobación, permisos de acuñación y las salvaguardas de gobierno relacionadas", señaló BlockSec Phalcon en un análisis forense.
El atacante, financiado a través de Tornado Cash, adquirió más del 50% del suministro total de 16.384 TOP. En una sola transacción, crearon, votaron y ejecutaron una propuesta maliciosa que provocó que TokenManager acuñara 10 mil millones de tokens TOP directamente en su contrato. Los tokens recién acuñados se intercambiaron por 944,2 WETH en el pool TOP/WETH de Balancer V1 en Ethereum, agotando su liquidez. Los fondos robados se redirigieron de vuelta a través de Tornado Cash, lo que complicó los esfuerzos de recuperación. No se produjeron pérdidas en el protocolo principal de Balancer.
El exploit se suma a un patrón de ataques de gobierno a proyectos DeFi más pequeños en 2026, donde la baja liquidez y los parámetros laxos facilitan las tomas de control. Si bien los protocolos importantes han reforzado sus defensas con bloqueos temporales y quórums más altos, muchos tokens emergentes en Aragon y stacks similares siguen expuestos, lo que probablemente atraerá un mayor escrutinio por parte de las firmas de seguridad y llamados a actualizaciones de gobierno.
La advertencia de BlockSec Phalcon va más allá de TOP. Cualquier proyecto que utilice Aragon DAO con MiniMeToken y una distribución de suministro baja enfrenta un riesgo similar. El ataque no requirió explotación de código, solo un parámetro de gobierno que permitía a una sola entidad tener la mayoría del poder de voto sin un bloqueo temporal ni una salvaguarda de quórum. Para los inversores en tokens DeFi de baja capitalización, el evento subraya la importancia de verificar los parámetros de gobierno y monitorear las grandes acumulaciones de tokens antes de proporcionar liquidez.
Este artículo es solo para fines informativos y no constituye asesoramiento de inversión.
