Financials · Private · kontigo.lat
Los accesos no autorizados a una tabla el 28 de diciembre de 2025 y el 3 de enero de 2026 expusieron correos e identificadores del proveedor de autenticación, según Kontigo. El 5 de enero, una falla de validación del emisor en un flujo Apple OIDC permitió emitir JWT aceptados como válidos, acceder a cuentas y drenar fondos de 1.005 usuarios. El comunicado contemporáneo cuantificó 340.905,28 USDC; el postmortem del 11 de enero dice USDT, discrepancia no resuelta. Kontigo reembolsó esos fondos y restringió temporalmente funciones. El 8 de enero, atacantes reutilizaron JWT de sesión de Thirdweb capturados antes y drenaron 56.913 USDC de 258 de las mismas billeteras, también reembolsados. La empresa dice que corrigió OIDC/RLS y adoptó medidas para acortar la vigencia e invalidar tokens; no reportó acceso a claves privadas. Los detalles técnicos y financieros son primariamente declaraciones de la empresa, sin peritaje público independiente completo.
