El sábado 17 de octubre, el volumen de transferencias de USDT alcanzó 3.69 billones de dólares. Eso es 35 veces el récord anterior de abril y 20 veces la cantidad de USDT en circulación. El pico anómalo fue detectado tan pronto como aparecieron los datos. Ningún evento legítimo del mercado explicaba lo que estaba sucediendo.
La causa fue un exploit de $207K en BiFi Lending, un protocolo cuyos pools de préstamo de USDT habían permanecido casi sin uso durante años. Un bot de sombrero blanco, de los que copian los exploits a medida que se ejecutan y luego devuelven el dinero, llegó al pool antes que el atacante original. Después de eso, cerca de 18,370 transacciones de bots imitadores hicieron circular por el sistema billones de dólares en USDT prestado, sin obtener casi ninguna ganancia al final.
Este análisis rastrea cómo los fondos salieron del protocolo, cómo la mayor parte regresó y por qué el volumen bruto de transferencias, una métrica que cuenta cada transferencia, incluso cuando el dinero finalmente no va a ninguna parte, refleja mal lo que realmente ocurrió.
¿Por qué los pools de USDT no utilizados de BiFi Lending eran vulnerables?
BiFi Lending fue creado por Bifrost y lanzado en Ethereum, y unas semanas después en BNB Chain. Para el 2026 de octubre, los pools de USDT del protocolo apenas se usaban. El pool de BNB Chain solo registraba unas pocas transacciones pequeñas al mes. Según una revisión pública del exploit, el pool de Ethereum no se había usado durante cerca de 36 días.
Fue esta inactividad la que creó la oportunidad para el ataque. Cuando un mercado de BiFi permanece inactivo durante mucho tiempo, se acumulan en él los intereses adeudados de todo ese período. La próxima vez que se llama al mercado, esos intereses se aplican a la transacción.
Un prestatario que agrupara decenas de operaciones de depósito, préstamo y reembolso en una sola transacción podía cobrar muchas veces los intereses acumulados durante 36 días. BiFi no ha publicado un informe sobre las causas y consecuencias del ataque.
05:43 UTC: un bot de sombrero blanco se adelanta a los atacantes de BiFi
A primera hora de la mañana del 17 de octubre, el atacante original desplegó un contrato inteligente diseñado para drenar el pool de Ethereum. Pero otra transacción se ejecutó primero.
Provino de c0ffeebabe.eth, un bot conocido por copiar los exploits a medida que se ejecutan y devolver los fondos. El bot tomó un préstamo flash de $40.5M USDT de Morpho.
Luego, el bot hizo circular el dinero por el pool de BiFi, reembolsó el préstamo de Morpho y canjeó las ganancias por 68 ETH. Pagó $2 en comisiones de red y ofreció al block builder una propina de 0.99 ETH, cerca de $2.4K, para asegurarse de que la transacción quedara incluida en el bloque antes que las demás. Un block builder es el participante de la infraestructura de la blockchain que decide el orden en que las transacciones se incluyen en un bloque.
Esta única transacción retiró $165.6K, es decir, 99% de todos los fondos que el pool de Ethereum perdió ese día.
06:13 UTC: el mismo error es explotado en BNB Chain
Treinta minutos después, el error fue explotado en BNB Chain, donde BiFi había desplegado el mismo código. Una sola transacción creó un contrato inteligente, tomó un préstamo flash sin comisión de $35.7M del Infinity Vault de PancakeSwap, ejecutó el mismo ciclo de operaciones y retiró $34.1K. Eso fue 85% de las pérdidas del pool de BNB Chain. Las comisiones de red ascendieron a cerca de 50 centavos.
El contrato fue construido para un solo uso, y el dinero nunca regresó. Para las 06:14, las dos transacciones decisivas ya se habían completado. En conjunto, retiraron $199.6K.
05:44 a 09:34 UTC: 18,370 transacciones imitadoras
En BNB Chain, los bots imitadores aparecieron tres segundos después del primer ataque. Estos programas automatizados monitorean la blockchain en busca de transacciones rentables y las replican en cuestión de segundos. En Ethereum, comenzaron a las 05:44, un minuto después de la transacción de c0ffeebabe.eth. Al menos dos operadores de bots distintos estuvieron activos al mismo tiempo. Cada uno de ellos usó los mismos monederos y contratos inteligentes en ambas redes.
Casi todo ese monto, salvo alrededor de una décima de centavo, se destinó a comisiones de red.
A lo largo de casi cuatro horas, unas 18,370 transacciones de este tipo movieron 3.63 billones de dólares en USDT. Retiraron $7.2K de los pools: $6.2K en BNB Chain y $1K en Ethereum. Mientras tanto, se gastaron $6.8K en comisiones de red, conocidas como gas, y propinas al block builder. La ganancia combinada fue de alrededor de $470. El operador más activo ganó alrededor de $350 en BNB Chain, pero perdió alrededor de $100 en Ethereum.
¿Quién retiró cuánto de los pools de USDT de BiFi el 17-18 de octubre de 2026?
| Participante | Red | Transacciones | USDT retirado | USDT movido | Comisiones | Devuelto |
|---|---|---|---|---|---|---|
| c0ffeebabe.eth, 05:43 UTC | Ethereum | 1 | $165.6K | 0.36 mil millones de dólares | $2.4K* | $159.1K** |
| Bot de una sola vez, 06:13 UTC | BNB Chain | 1 | $34.1K | 0.20 mil millones de dólares | $0.50K | Nada |
| Transacciones posteriores de c0ffeebabe.eth hasta las 09:17 UTC | Ethereum | 94 | $0.5K | 32.7 mil millones de dólares | $0.4K | Contado arriba** |
| Bots imitadores, 05:44-09:34 UTC | Ambas redes | alrededor de 18,370 | $7.2K | 3.63 billones de dólares | $6.8K | Nada |
| Total | alrededor de 18,460 | $207.3K | 3.66 billones de dólares | $9.6K | $159.1K |
* Las comisiones incluyen la comisión de red y los pagos al block builder. En su primera transacción, c0ffeebabe.eth pagó $2 en gas y dio al block builder una propina de 0.99 ETH, alrededor de $2.4K.
** Se devolvieron 159,104 USDC al pool de USDT de BiFi en Ethereum el 18 de octubre. Eso es aproximadamente 96% de los $166.1K que c0ffeebabe.eth retiró en las dos filas de la tabla. Otros mercados de BiFi perdieron alrededor de $10K más; esos fondos no están incluidos aquí. Fuente: análisis de datos públicos de la blockchain.
18 de octubre: c0ffeebabe.eth devuelve los fondos
Al día siguiente, a las 17:21 UTC, c0ffeebabe.eth compró 159,104 USDC y los envió al pool de USDT de BiFi en Ethereum. Eso es 96% del total de $166.1K que el bot retiró, incluyendo los $0.5K obtenidos en transacciones posteriores más pequeñas. El bot se quedó con los $7K restantes.
Doce minutos después, un bot de estafa envió un token sin valor que imitaba al USDC al mismo pool, por exactamente el mismo monto. La transferencia provino de una dirección creada especialmente para parecerse a la dirección de c0ffeebabe.eth.
Tras contabilizar la devolución, las pérdidas de los dos pools de USDT de BiFi suman alrededor de $48K, la mayor parte en BNB Chain. Esa misma mañana, los mismos bots, incluido c0ffeebabe.eth, retiraron alrededor de $10K adicionales de otros mercados inactivos de BiFi. Los activos afectados incluyeron BNB, USDC, DAI, BTCB, BUSD, ETH y LINK.
Por qué el récord de 3.69 billones de dólares en transferencias de USDT fue en su mayoría ruido estadístico
Por volumen bruto de transferencias, el 17 de octubre fue el día más grande para el USDT desde al menos abril. Ese día, el token se movió entre direcciones en todas las redes por un total de 3.69 billones de dólares. Eso es 35 veces el máximo anterior de 106 mil millones de dólares registrado el 8 de junio, y 71 veces el volumen diario habitual de 52.1 mil millones de dólares. Solo en BNB Chain, la cifra alcanzó 3.51 billones de dólares, frente a un volumen habitual de alrededor de 6.1 mil millones de dólares.
El volumen neto de transferencias cuenta una historia distinta. Este descuenta los fondos que salen de una dirección y regresan de inmediato. El 17 de octubre, el volumen neto de transferencias de USDT fue de 3.9 mil millones de dólares, aproximadamente lo mismo que los 4.1 mil millones de dólares del sábado anterior.
Esta brecha importa más allá de la evaluación de un solo exploit. Las clasificaciones de stablecoins y los paneles de análisis de mercado suelen citar el volumen bruto como medida del uso real de un activo.
Ruido en la blockchain: por qué casi un tercio de las transferencias de TRON es spam16 sept 2026Leer más
Qué significa el exploit de BiFi para los datos de volumen de stablecoins
El volumen bruto debe analizarse junto con los flujos netos. Los préstamos flash gratuitos permitieron a un bot mover $196M para ganar una décima de centavo. Las cifras de transferencias grandes pueden reflejar no actividad económica real, sino la cantidad de capital disponible para pedir prestado. El volumen neto de transferencias y la información sobre quién está del otro lado de cada transacción ayudan a mostrar qué fondos realmente cambiaron de manos.
Los contratos inteligentes sin mantenimiento siguen funcionando. Los pools de BiFi Lending aún conservaban fondos, y los propios pools seguían respondiendo a cualquier llamada. Hoy, el pool en BNB Chain contiene alrededor de $21K. Si un contrato inteligente desplegado deja de recibir mantenimiento, debería pausarse o vaciarse de fondos.
La recuperación white-hat depende del momento. Los fondos en Ethereum se recuperaron porque el bot white-hat llegó primero al pool. En BNB Chain, 30 minutos después, eso no ocurrió. Un protocolo que opera en varias redes necesita un mecanismo para pausar las operaciones en todas ellas al mismo tiempo.
