Del 19 al 20 de agosto de 2026, un atacante extrajo BB de nueve cuentas principales de la red BounceBit Chain, aprovechándose de una vulnerabilidad en la autorización de uno de los módulos integrados del protocolo. Esta falla permitía especificar una cuenta arbitraria como fuente de financiación sin la confirmación del propietario. Los claves privadas, firmas, billeteras y cuentas de exchange no fueron comprometidas; el problema estaba a nivel del protocolo.
Hechos clave:
- Se extrajeron 286.543.148 BB en 14 transacciones durante casi cinco horas.
- La producción de bloques se detuvo en la altura 20.702.857 (02:36 UTC del 20 de agosto); desde entonces, la red no funciona.
- Sólo nueve cuentas habituales con saldos fueron afectadas; los productos CeDeFi Strategy, Promo Vaults, Prime y RWA no se vieron afectados por el incidente.
- Los fondos pasaron por dos direcciones principales del atacante y 15 contratos temporales, luego fueron divididos y parcialmente enviados a exchanges; el equipo presentó solicitudes de congelación.
Decisión del equipo: BounceBit Chain se detiene definitivamente. La razón es que la red está basada en un fork de Evmos, cuyo desarrollo ha sido abandonado, por lo que una actualización completa requeriría recompilar y volver a auditar todo desde cero. En su lugar, BB será emitido nuevamente como un token estándar BEP-20 en la red BNB Chain, donde ya se ha trasladado la mayor parte de los productos y la actividad de los usuarios.
Cómo se considera el saldo: la captura del estado se realizó en el bloque 20.697.260 (21:02:35 UTC del 19 de agosto), justo antes de la primera transacción no autorizada. Los fondos del atacante no aparecen en esta captura. Todas las operaciones con BB en BounceBit Chain posteriores a esta marca y hasta la detención de la red (aproximadamente 5,5 horas) son canceladas: si los tokens fueron comprados durante este período, serán devueltos al vendedor; si fueron enviados, serán devueltos al remitente.
Los BB estakados y en proceso de desestakado al momento de la captura se consideran igual que los líquidos y serán acreditados en la misma dirección; no es necesario retirarlos del staking, ya que la red sigue inoperativa.
Por ahora, los titulares no necesitan hacer nada.
Bouncebit es un protocolo de restaking de BTC y un protocolo CeDeFi que permite obtener ingresos por staking de BTC en DeFi o CeFi.
Inversiones: 6 millones de dólares de Blockchain Capital, NGC Ventures, CMS Holdings, OKX Ventures y otros.