RegistroCiberVE
All incidents
unauthorised financial transaction Public report: Date confidence: High

Acceso no autorizado y dos drenajes de fondos reportados por Kontigo

Los accesos no autorizados a una tabla el 28 de diciembre de 2025 y el 3 de enero de 2026 expusieron correos e identificadores del proveedor de autenticación, según Kontigo. El 5 de enero, una falla de validación del emisor en un flujo Apple OIDC permitió emitir JWT aceptados como válidos, acceder a cuentas y drenar fondos de 1.005 usuarios. El comunicado contemporáneo cuantificó 340.905,28 USDC; el postmortem del 11 de enero dice USDT, discrepancia no resuelta. Kontigo reembolsó esos fondos y restringió temporalmente funciones. El 8 de enero, atacantes reutilizaron JWT de sesión de Thirdweb capturados antes y drenaron 56.913 USDC de 258 de las mismas billeteras, también reembolsados. La empresa dice que corrigió OIDC/RLS y adoptó medidas para acortar la vigencia e invalidar tokens; no reportó acceso a claves privadas. Los detalles técnicos y financieros son primariamente declaraciones de la empresa, sin peritaje público independiente completo.

Overview

Missing evidence

peritaje forense independiente y registros técnicos reproduciblesconfirmación transaccional completa y lista de billeteras afectadasreconciliación oficial de USDT frente a USDC en el primer montoalcance exacto de lectura/exportación de correos e IDs

Impact details

1,005 Reported affected people

Kontigo confirmó fondos drenados de 1.005 usuarios el 5 de enero y 56.913 USDC adicionales de 258 de las mismas billeteras el 8 de enero, con reembolsos tras ambas fases. Se conserva 340.905,28 USDC como monto escalar de la primera fase porque el comunicado contemporáneo lo muestra así; el postmortem dice USDT y por esa discrepancia no se agrega silenciosamente el segundo monto. La empresa también reportó lectura de correos e IDs de autenticación, sin acceso a claves privadas ni filtración pública.

Email addressesauthentication-provider user IDsJWT de sesión de Thirdweb capturados, según Kontigouser accountsembedded walletsauthentication service

Classification & severity

Category
Fraud
Subtype
unauthorised financial transaction
Confidence
High

Kontigo reportó en su postmortem retiros no autorizados de fondos de usuarios en dos fases. Las cuatro publicaciones tempranas reproducen la declaración de la empresa sobre el primer drenaje y los reembolsos; no documentan de forma independiente la segunda fase ni constituyen peritajes forenses.

Severity assessment

High
Functional impact
Degraded (non-critical)
Information impact
Personal data
Affected scope
Multiple users
Critical service
None
Public confidence
Moderate
Recoverability
Regular

Dos drenajes afectaron fondos y 1.005 usuarios, hubo restricciones temporales y acceso a correos/IDs; Kontigo afirma reembolso completo y no acceso a claves privadas.

Data exfiltration· Claimed Reported disruption ConfidentialityIntegrityAvailability

Timeline

Compromise

Atacantes usaron JWT aceptados por una falla Apple OIDC para acceder a cuentas y drenar fondos de 1.005 usuarios; Kontigo informó 340.905,28 USDC, aisló sistemas y anunció reembolsos.

Update

Kontigo informó reembolsos y mantuvo restricciones temporales de acceso/retiros mientras estabilizaba servicios y reforzaba controles.

Compromise

En una segunda fase, atacantes reutilizaron JWT de sesión de Thirdweb y drenaron 56.913 USDC de 258 de las mismas billeteras; el comunicado inicial lo había presentado como intento contenido.

Disclosure

Kontigo publicó el postmortem con la falla OIDC/JWT, accesos a correos e IDs, segundo drenaje, remediación y reembolsos; llamó USDT al primer monto, en conflicto con el comunicado USDC.

Evidence & sources

5 sources

Kontigo reintegró los fondos a los afectados por el hackeo

CriptoNoticias / Jesús Herrera Jan 6, 2026
Corroborating Media report Source confidence: Medium

What this source supports

  • reports more than 300,000 USDC drained
  • reports completed reimbursement
  • reports temporary restrictions on external/on-chain withdrawals
  • attributes the restrictions to post-incident security protocol

Evidence limits

Credible specialist coverage, but dependent on Kontigo statements and does not independently establish the exact amount, account count or technical cause.

Relevance to this case

Contemporaneous coverage of reimbursement and temporary withdrawal restrictions after the first drain.

Venezuela-focused neobank Kontigo pays back users after $340K USDC hack

Protos / Mark Toon Jan 7, 2026
Corroborating Media report Source confidence: High

What this source supports

  • reports 340,905.28 USDC drained
  • reports 1,005 affected accounts
  • reports isolation of systems and reimbursement

Evidence limits

Independent publisher but substantially dependent on the company’s public statements; no transaction-level or forensic validation.

Relevance to this case

Strong contemporaneous secondary support for first-phase amount, account count and refunds.

Venezuela-focused crypto startup loses $341K in cybertheft

American Banker / Carter Pape Jan 6, 2026
Impact Media report Source confidence: High

What this source supports

  • reports 340,905.28 USDC drained from 1,005 accounts
  • reports system isolation and 100% reimbursement
  • records that Kontigo had not disclosed vector or PII impact at publication

Evidence limits

High-quality financial-sector journalism but dependent on Kontigo’s early statements; later official postmortem supersedes its then-unknown vector/PII status.

Relevance to this case

Strong independent-newsroom corroboration of first-phase amount, user count, containment and reimbursement.

Hackeo a Kontigo: más de mil usuarios venezolanos afectados por robo de stablecoins

DiarioBitcoin / Hannah Pérez Jan 6, 2026
Corroborating Media report Source confidence: Medium

What this source supports

  • reports 1,005 affected users
  • reports 340,905.28 USDC taken
  • reports system isolation and reimbursement commitment

Evidence limits

Contemporaneous crypto reporting, but dependent on company communications and without independent technical evidence. Political context is not incident evidence.

Relevance to this case

Corroborates first-phase amount, affected-user count and reimbursement promise.

Reporte de Incidente de Seguridad

Kontigo / Jesús Castillo Jan 11, 2026
Primary Official statement Source confidence: High

What this source supports

  • reports unauthorized table access on 28 December and 3 January exposing emails and authentication-provider IDs
  • attributes the 5 January attack to Apple OIDC issuer-validation failure and fraudulently minted valid JWTs
  • reports 1,005 users and 340,905.28 labelled USDT for the first drain
  • reports a second 8 January drain of 56,913 USDC from 258 of the same wallets via reused Thirdweb session JWTs
  • states no private keys were stored or accessed
  • states all users were reimbursed and OIDC/RLS/session-token controls were remediated

Evidence limits

First-party technical account, not an independently published forensic report. Its USDT label for the first drain conflicts with Kontigo’s contemporaneous USDC graphic and all four early reports.

Relevance to this case

Strongest source for the two phases, technical cause, limited metadata access, remediation and reimbursement.