En la madrugada del miércoles, la cuenta verificada de la senadora Cynthia Lummis en X empezó a publicar mensajes que nada tenían que ver con sus habituales intervenciones sobre la regulación de las criptomonedas. Los atacantes habían tomado el control de la cuenta para promocionar un token falso sobre la red Solana que, según el post, había sido «creado oficialmente por nuestro equipo».
El ataque a la cuenta de Lummis
El mensaje incluía un enlace a la plataforma pump.fun —un sitio que permite a cualquiera crear un token meme en Solana en cuestión de minutos— y, junto a la bandera de Estados Unidos, etiquetaba directamente a la red Solana. En apenas cinco minutos, el post fraudulento alcanzó las 5.600 visualizaciones y generó 37 respuestas antes de desaparecer, según las capturas de pantalla que circularon posteriormente.
La oficina de Lummis todavía no ha emitido un comunicado oficial confirmando el origen de la brecha de seguridad, pero la rápida eliminación de los mensajes sugiere que el equipo de X o la propia senadora lograron recuperar el control de la cuenta en cuestión de minutos.
Un patrón preocupante en el sector
No es la primera vez que una figura del sector cripto ve comprometida su cuenta. Apenas seis días antes, los atacantes habían suplantado al CEO de Robinhood, Vlad Tenev, mediante un ataque de ingeniería social contra el servicio de soporte de X, y consiguieron extraer el equivalente a 1,2 millones de dólares. A principios de julio, las cuentas de SpaceX y Starlink también fueron utilizadas para lanzar un rug pull bajo el nombre de SCATMAN, con una ganancia cercana a los 125.000 dólares.
La senadora republicana, por su parte, ha sido hasta ahora una de las voces más persistentes a favor de la Ley de Claridad del Mercado de Activos Digitales (CLARITY Act), una propuesta que reparte la supervisión del sector entre dos reguladores federales. El senado debatió el texto antes del receso estival, pero la medida se estancó por falta de tiempo para una votación en el pleno.
El hackeo de su cuenta, por tanto, añade una paradoja incómoda: la misma senadora que defiende la claridad regulatoria aparece vinculada, aunque sea sin su consentimiento, a un token falso de Solana creado sin ningún tipo de control. El token, que se autodenominaba como «$USA Token», carecía de liquidez real en los mercados descentralizados.
El hecho de que la senadora que defiende la claridad regulatoria sea ahora víctima de un fraude con un token falso subraya la urgencia de ordenar el sector.
El incidente pone en evidencia la vulnerabilidad de los perfiles verificados de la red social, incluso tras la medida que X adoptó en abril para bloquear las publicaciones que contienen palabras relacionadas con criptomonedas y que proceden de cuentas que publican por primera vez sobre el tema. La misma jugada se repite una y otra vez: los atacantes se hacen con una cuenta con miles de seguidores, lanzan un token recién creado y borran las pruebas antes de que la plataforma reaccione.
Una señal de alerta para Solana y la regulación
Para el ecosistema de Solana, este hackeo no es una amenaza directa a la red, sino una muestra del lado más salvaje de la innovación sin barreras. pump.fun es solo una herramienta; la raíz del problema está en la suplantación de identidad y en la facilidad con que los ciberdelincuentes explotan la confianza de los seguidores. La red Solana, que ayer cotizaba en torno a los 73 dólares —una caída del 1%—, apenas ha sentido el impacto.
El episodio, no obstante, llega en un momento delicado para la CLARITY Act, que podría haberse debatido en el pleno antes del parón veraniego. Algunos analistas del sector apuntan a la ironía de de que el proyecto legislativo más ambicioso para clasificar los activos digitales en Estados Unidos tenga ahora un hueco en los titulares por un ataque que apela precisamente al vacío regulatorio que la ley pretende llenar.
Más allá de la anécdota, el suceso recuerda a los inversores que la seguridad en el mundo cripto empieza por desconfiar de cualquier promoción que llegue por sorpresa, por muy verificada que esté la cuenta que la publique. Y, como suele suceder, el token falso ya no cotiza en ningún sitio. Solo quedan las capturas de pantalla y la advertencia de que, en esto de las criptomonedas, la identidad también puede ser un disfraz.
