Un fallo en la lógica de venta de TENDRIL habría permitido alterar las reservas de su pool en PancakeSwap V2 y retirar casi todo el USDT del fondo de liquidez, en BNB Chain, el 5 de noviembre de 2026. Las cifras difundidas sobre el impacto no coinciden del todo, pero la pérdida principal se ubica cerca de USD 555.000.
Cómo se habría producido el drenaje
El incidente se concentró en el par TENDRIL/USDT. Según las alertas citadas, la vulnerabilidad estaría vinculada con PoolControl.sellToken y con una quema que habría alterado las reservas del pool mientras se procesaba una venta.
En ese orden de ejecución, el contrato habría modificado temporalmente los saldos que usa el mercado automatizado para fijar el precio del token. Con las reservas distorsionadas, el pool habría tratado a TENDRIL como más valioso frente al USDT de lo que correspondía, lo que abrió espacio para extraer fondos.
La falla no apunta a PancakeSwap como plataforma, sino a una ruta de código específica del token que interactuaba con el fondo durante la transacción. En un mercado automatizado, la proporción entre activos es clave para calcular precios, de modo que cualquier cambio de saldo en medio de la operación puede desordenar esa referencia.
Las pérdidas reportadas no son iguales
La estimación principal habla de una pérdida neta cercana a USD 555.000, mientras que otras lecturas del mismo episodio sitúan el drenaje total en unos USD 550.000 en USDT. Esas cifras no necesariamente describen lo mismo: una puede medir lo retirado del pool y otra la pérdida neta tras costos o ajustes.
TenArmorAlert calculó primero un daño de alrededor de USD 309.000, por debajo de los montos posteriores. La diferencia responde a que cada cálculo puede tomar una métrica distinta: saldo retirado, ganancia final del atacante o perjuicio neto de los proveedores de liquidez.
Los datos en cadena también muestran que, durante el exploit, el atacante envió 30.000 USDT a una dirección de beneficiario codificada de forma rígida. Ese movimiento confirma una operación concreta, pero no permite establecer por sí solo quién controlaba la dirección ni cuál fue el destino final de esos fondos.
Alertas y efecto sobre la liquidez
ExVul y ScaleBit publicaron alertas sobre el ataque el mismo 5 de noviembre de 2026. Sus divulgaciones incluyeron el contrato vulnerable del token, la dirección del par afectado y transacciones relevantes para seguir la secuencia del incidente en la cadena.
El caso expone un riesgo conocido en los tokens con lógica personalizada: impuestos, quemas o mecanismos de reflejo pueden interactuar con el pool de maneras que no estaban previstas en el diseño original. Si una función altera reservas mientras la operación sigue abierta, el precio resultante puede basarse en un estado transitorio.
Para los tenedores de TENDRIL, el efecto inmediato señalado es la falta de liquidez: después del retiro, quedaría muy poco USDT disponible en el otro lado del pool para absorber nuevas ventas. El reporte no precisa el saldo exacto que quedó ni describe cómo evolucionó después del ataque.
Para los proveedores de liquidez, el caso muestra que un mercado automatizado puede quedar expuesto si el contrato del token altera sus propios saldos en plena ejecución. La recomendación que se desprende del análisis es controlar el orden de las funciones de venta y quema para que los cambios de estado ocurran después de finalizar las transferencias.
