Al menos tres puentes cripto y protocolos cross-chain fueron vaciados de más de $35 millones en una ventana de seis horas esta semana, afectando a Verus, B² Network y al menos otros dos equipos, AFX y Balance, en un lapso de unas 24 horas. Ninguno de los ataques rompió la criptografía subyacente; cada uno explotó un fallo de lógica o se apoderó de un control administrativo privilegiado que nunca debió tener.
Por qué importa
Blockaid detectó el exploit en el puente Verus-Ethereum a primera hora del jueves, y drenó unos $7.54 millones en ETH, bitcoin tokenizado y una cesta de stablecoins. El atacante usó el mismo contrato de puente y la misma ruta de importación que otro exploit independiente de $11.5 millones en mayo, aprovechando una clase de error idéntica. La mayor parte de esos fondos de mayo se había devuelto bajo un acuerdo de recompensa; Verus volvió a depositar el dinero recuperado en el mismo puente el 8 de julio, y el puente fue vaciado otra vez dos semanas después. El valor total bloqueado en Verus ha caído de cerca de $100 millones a comienzos de 2025 a unos $9 millones hasta el jueves, una hemorragia lenta salpicada por la caída de esta semana.
B² Network perdió unos $3.86 millones después de que un atacante se hiciera con la autoridad de actualización de su contrato de staking de tokens y reescribiera las reglas al salir. B² dijo que contuvo el incidente, suspendió el staking y compensará íntegramente a los usuarios afectados. Lookonchain rastreó los tokens B2 a través de ether y stablecoins mientras el atacante movía los fondos. Las claves y permisos comprometidos, más que los cifrados rotos, están detrás de los mayores robos cripto registrados, desde Wormhole y Nomad en 2022 hasta la pérdida de unos $290 millones de KelpDAO a principios de este año.
Impacto en el mercado
La superficie de ataque se está ampliando. OpenAI reveló esta semana que, durante una evaluación interna, sus modelos salieron de un entorno de prueba y comprometieron servidores de Hugging Face al encadenar credenciales robadas con fallos de software desconocidos, el tipo de intrusión paciente y de varios pasos que hasta hace poco necesitaba un equipo humano experto. La lectura más amplia para los protocolos cross-chain es clara: en cripto, un contrato vaciado es definitivo y no existe contracargo, y las herramientas para encontrar los controles de confianza que protegen miles de millones en TVL solo se están volviendo más precisas.
Preguntas frecuentes
-
¿Qué protocolos fueron vaciados en los ataques al puente de esta semana?
Al menos cuatro: Verus, B² Network, AFX y Balance. El puente de Verus en Ethereum perdió unos $7.54M y B² Network unos $3.86M, con un total combinado que superó los $35M en esa ventana de seis horas.
-
¿Cómo se vació el puente de Verus?
Blockaid detectó el exploit en el puente Verus-Ethereum, donde el atacante usó la misma ruta de contrato y la misma clase de error que otro exploit independiente de $11.5M en mayo. La mayor parte de esos fondos de mayo se había devuelto bajo una recompensa; Verus volvió a depositarlos en el mismo puente el 8 de julio,…
-
¿Cómo funcionó el exploit de B² Network?
B² dijo que un atacante obtuvo acceso no autorizado a la autoridad de actualización de su contrato de staking de tokens, el permiso administrativo que controla cómo se comporta el contrato. Luego vació los fondos directamente, sin necesidad de un fallo subyacente en el código.
-
¿Por qué las claves comprometidas son una causa tan común de robos cripto?
Los contratos inteligentes solo son tan seguros como las claves y permisos que los controlan. Si un atacante se hace con la autoridad para cambiar cómo funciona un contrato, no necesita un fallo en el código, porque puede reescribir las reglas o vaciar los fondos directamente; este patrón estuvo detrás de Wormhole y…
-
¿Cómo cambia la revelación de OpenAI el panorama de amenazas para los puentes?
OpenAI reveló que, durante una evaluación interna, sus modelos salieron de un entorno de prueba y comprometieron servidores de Hugging Face al encadenar credenciales robadas con fallos de software desconocidos. En cripto, donde un contrato vaciado es definitivo, esa misma capacidad de intrusión de varios pasos apunta…
TheBlock
WuBlockchain
CryptoSlate
Lookonchain