Autor: Nicky, Foresight News
El 15 de julio, la plataforma de lanzamiento de tokens vlad.fun en Robinhood Chain experimentó un incidente de operaciones maliciosas por parte de desarrolladores internos el mismo día de su lanzamiento. Según información oficial, dos desarrolladores externos que participaron en la construcción de la plataforma crearon secretamente su propio token y lo codificaron directamente en el código del front-end. Esto provocó que, al iniciar la plataforma, los usuarios solo pudieran ver ese token, mientras que todos los tokens de otros creadores quedaron invisibles. El equipo detectó la anomalía en dos horas, despidiendo de inmediato a los desarrolladores involucrados y eliminando el código malicioso.
La declaración oficial enfatiza que el equipo nunca acordó emitir un token para la plataforma vlad.fun, y que los dos individuos tomaron la decisión por su cuenta de lanzarlo para "aumentar las visitas". Tras negociaciones, ambos han devuelto aproximadamente $15,000 en tarifas de creadores y ganancias de tokens de prueba, recuperando un total de alrededor de 7.8 ETH. Estos fondos ya han sido depositados en la billetera de seguridad del equipo. Además, las tarifas de protocolo generadas por el lanzamiento de la plataforma, aproximadamente 4.16 ETH, se encuentran en una dirección multifirma del equipo.
Según datos públicos, vlad.fun fue construida rápidamente por un pequeño equipo de 5 personas en 48 horas. Hasta ahora, dos miembros asociados al proyecto han emitido declaraciones, pero al momento de redactar este artículo no se han revelado detalles específicos sobre los dos desarrolladores externos. Según el hilo explicativo del incidente publicado por la cuenta oficial del proyecto el 18 de julio, los dos desarrolladores externos eran responsables de proporcionar la biblioteca central de código para la plataforma de lanzamiento. En la última confirmación de código antes del lanzamiento, agregaron manualmente una línea de código duro en el front-end, lo que forzó la visualización de su propio token en la página de inicio, mientras que los tokens de otros creadores quedaron completamente ocultos debido a problemas de carga.
Los usuarios notaron rápidamente la anomalía después del lanzamiento: toda la plataforma mostraba solo un token. El equipo comenzó a revisar el código y encontró la línea de código duro agregada manualmente en el historial de confirmaciones. Al ser interrogados por el equipo, los dos desarrolladores inicialmente dieron excusas técnicas como fallas de RPC, problemas con variables de entorno y caché, pero el hecho de que su token permaneciera siempre visible contradecía claramente este tipo de explicaciones.
Según la descripción oficial, posteriormente uno de los desarrolladores solicitó desactivar la protección de ramas del repositorio de código, alegando que necesitaba "revertir ciertos contenidos". El equipo hizo una copia de seguridad con marca de tiempo de todo el repositorio antes de desactivar la protección y observó que ambos eliminaron la línea de código que contenía el código duro. La declaración oficial señala que este intento de destruir evidencia finalmente expuso sus intenciones. Ante las pruebas, los dos desarrolladores admitieron lo sucedido.
Este incidente refleja los riesgos de confianza que enfrentan los proyectos criptográficos de construcción rápida al incorporar desarrolladores externos. La identidad de los dos desarrolladores involucrados aún no se ha hecho pública, y el equipo ha indicado que, siguiendo consejos, ha decidido no revelarla por ahora. El equipo de vlad.fun declaró que en el futuro no permitirá que personal externo acceda a sistemas sensibles y se inclinará por desarrollar sobre la base de contratos de código abierto.
Según se muestra en su sitio web oficial, vlad.fun se encuentra actualmente en estado de operación suspendida. El equipo ha expresado que priorizará la atención a los asuntos de los usuarios afectados.
El miembro de la comunidad Will Mexi aclaró públicamente su papel después del incidente. Afirmó estar a cargo de tareas como la lista de solicitudes para unirse al proyecto, optimización del front-end, diseño, marca y animaciones, y que no es uno de los dos desarrolladores involucrados, ni participó en la planificación o ejecución de la operación. Según su descripción, probó la versión normal del sitio web aproximadamente 20 minutos antes del lanzamiento, por lo que no detectó ninguna anomalía.
Will Mexi declaró que una vez que la plataforma se lanzó oficialmente, vio que el token ya estaba presente y que no tenía lógica, por lo que inmediatamente leyó el código recién confirmado y descubrió la línea de código duro, informando de inmediato al equipo central. También mencionó que la activación previa de la protección de ramas se debió precisamente a la cautela con el código externo, y que esta configuración finalmente preservó el registro completo de confirmaciones y la evidencia de las intenciones. Negó haber comprado ningún token de la plataforma y afirmó haber sufrido pérdidas debido a los costosos gastos en RPC, API y despliegue de servidores.
El miembro del equipo central @SOLsesame también expresó su apoyo en el hilo del incidente. Pertenece al pequeño equipo central que ha colaborado durante más de un año con Will Mexi y otros, y no es uno de los desarrolladores externos involucrados. Su experiencia pasada muestra que es un constructor activo en el ecosistema de Solana, habiendo participado profundamente en el ecosistema de ai16z y sus proyectos PartnersNFT y PartnersDAO. Recientemente, también colaboró con Will Mexi para construir y lanzar desde cero la serie Black Bull NFT para la comunidad de ANSEM en 24 horas.
Como plataforma de lanzamiento de tokens en Robinhood Chain, vlad.fun se diferencia de las plataformas de lanzamiento tradicionales basadas en curva de vinculación (bonding curve). El diseño de vlad.fun tiene como objetivo completar el despliegue del token en una sola transacción y lanzarlo directamente a Uniswap V3 o V4, permitiendo que el token sea negociable inmediatamente en intercambios descentralizados, sin necesidad de pasar por pasos de "graduación" o migración. La posición del pool de liquidez se bloquea permanentemente a través de un contrato de locker, sin posibilidad de ser retirada por el equipo, lo que reduce mecánicamente el riesgo de rug pull.
En cuanto al diseño de equidad, la plataforma adopta un mecanismo de suministro fijo, sin preventa y sin asignaciones significativas para el equipo. También ofrece una función opcional de compra prioritaria para desarrolladores, permitiéndoles comprar sin tarifas de transacción durante el lanzamiento. Un mecanismo anti-ballena limita la tenencia máxima por billetera individual al 2%, evitando la concentración de tenencias en una sola dirección. En cuanto al enrutamiento de tarifas, la plataforma admite la configuración de tarifas de transacción del 1% al 5%, que pueden dirigirse instantáneamente a destinatarios específicos, incluyendo direcciones de billetera, cuentas de redes sociales o agentes de recompra y quema (buyback and burn). Las tarifas se bloquean al momento del lanzamiento y no se pueden modificar. Además, la plataforma también planea modos opcionales como staking para dividendos.
A pesar de que vlad.fun ha pausado sus operaciones debido al incidente interno, el ecosistema de plataformas de lanzamiento en Robinhood Chain no se ha enfriado. Según datos de DefiLlama, el TVL actual de esta cadena es de aproximadamente $258 millones, con tarifas de aproximadamente $118,000 en 24 horas e ingresos de alrededor de $106,000. Los gastos en tarifas de Uniswap en 24 horas alcanzan los $1.95 millones. Actualmente, varias plataformas de lanzamiento se han congregado en el ecosistema, formando un panorama de competencia diferenciada: el recién llegado PONS ocupa la posición líder entre las plataformas de lanzamiento gracias a un desarrollo intensivo y actualizaciones continuas, con una capitalización de mercado de su token de plataforma de aproximadamente $12 millones y un aumento de más del 4200% en los últimos 7 días. Además, la plataforma Butterfly se enfoca en Memes de tipo stock-token pero aún no ha producido un éxito rotundo, mientras que tokens innovadores nativos de Uniswap, como aquellos con dividendos de tipo RWA (index), al recibir atención oficial, alcanzaron brevemente una capitalización de mercado de $30 millones el 17 de julio.
