Vulnerabilidades de contratos inteligentes y DeFi: manipulación de oráculos, reentradas, ataques de préstamos relámpago y exploits de gobernanza.
Los datos de Binance muestran que las compras al contado siguen llegando mientras el posicionamiento apalancado reescribe cómo se forman los máximos y mínimos de BTC, haciendo más difícil anticipar cualquier desplome aislado.
Casi 600 BTC fueron robados por un fallo en el firmware de Coldcard que permitió a los atacantes reconstruir seeds de monederos, reabriendo el debate sobre si productos institucionales como IBIT de BlackRock tienen ahora más sentido.
La corrección del protocolo ya está activa y es verificable, pero ZEC sigue cotizando por debajo de la zona de $500 que Ironwood debía devolver al foco del mercado, dejando la reparación de la oferta en manos técnicas y la del precio pendiente.
Solo la DPRK drenó casi 600M$. La cifra principal es mala, pero la advertencia de futuro sobre exploits impulsados por IA es lo que deberían leer los equipos de seguridad y riesgo on-chain.
Un pool verificado formalmente que reutiliza un circuito parcheado es el puente, no el destino: el ecosistema de Zcash está reconstruyendo la confianza después de que la revelación de Orchard borrara más de la mitad del precio de ZEC.
Una mecha del 27% en un perp de acciones coreanas listado vía HIP-3 dejó al descubierto la fragilidad de liquidez de los listados permissionless: cualquier staker puede lanzar un mercado, pero la profundidad inicial no está garantizada.
Los 5.280 ETH ya están en movimiento, pero el daño duradero de un exploit de wallet rara vez es el robo en sí, con consecuencias secundarias que pueden prolongarse durante meses después de que las monedas salgan.
Los fallos recién revelados afectan a la primitiva de pagos que impulsa los micropagos de agentes de IA, y permiten vaciar carteras o comprar gratis en la mayoría de integraciones activas.
Un fallo de siete años en la biblioteca de firmas de XRP Ledger habría permitido a un atacante derivar una clave privada con solo cinco transacciones firmadas, poniendo en riesgo monederos antes de que los mantenedores lo parchearan.
El uso activo de RWA en DeFi ha rebotado hasta unos $3.77B, cerca de los niveles previos a abril, pero la recuperación oculta una profundidad escasa: el crédito privado y unos pocos productos CLO siguen dominando.
Un segundo atacante drenó el puente usando el mismo contrato y la misma ruta de entrada que en el exploit de mayo, lo que sugiere que el parche llegó tarde o no cerró de verdad esa clase de vulnerabilidad.
El patrón lo cuenta todo: cuatro protocolos cayeron en 24 horas por el mismo modo de fallo, claves y permisos comprometidos, no criptografía rota, y las herramientas de IA ya están reduciendo el coste de encontrar esos puntos débiles.
El atacante trasladó la stablecoin robada a Ethereum y la cambió por 12,467 ETH antes de que el equipo pudiera responder, un patrón clásico de drenaje entre cadenas.
El fallo permite recuperar claves privadas a partir de cualquier firma onchain afectada; las transacciones EVM y los SDKs no se ven afectados, lo que reduce el radio de impacto.
Un fallo de reutilización de nonce en la app Ledger de Zilliqa permitió a atacantes reconstruir claves privadas a partir de unas cinco firmas nativas, y la designación de Upbit como activo bajo cautela pone ahora en duda el soporte de negociación de ZIL.
La brecha, que vació 16,1 millones de ADA de 374 wallets, fue un fallo en el software de firma de transacciones, no en el protocolo de Cardano, pero obligó a cerrar por completo el servicio.
El atacante obtuvo menos de $1M, pero el mecanismo, una escritura de oráculo sin protección y sin retraso de liquidación, es la advertencia real para cualquier libro de préstamos respaldado por BTC.
El incidente muestra que un modelo capaz, sin barreras efectivas, puede encadenar fallos desconocidos, credenciales robadas y debilidades en producción de principio a fin, justo el patrón de una explotación cripto seria.
Las fugas de sandbox durante ejercicios de red-teaming no son nuevas, pero acceder a internet pública para robar respuestas de un host externo de benchmarks replantea la próxima ronda de evaluaciones de IA.
Cinco semanas de aviso y después una retirada forzosa: el fallo pone el foco en una parte de la seguridad de los rollups que suele quedar oculta, qué ocurre cuando se rompe la propia capa del bridge.
CryptoSlate
CoinDesk
TheBlock
WuBlockchain
WatcherGuru