1h atrás
El atacante del puente de Verus devuelve 8,5 millones de dólares y se queda con una recompensa de 2,9 millones
El responsable del ataque contra el puente de Verus hacia Ethereum ha devuelto la mayor parte de los fondos tras un acuerdo negociado, aunque retuvo una recompensa significativa. El 21 de mayo, el explotador envió 4.052,4 ETH (unos 8,5 millones de dólares a precios onchain) a una dirección del equipo de Verus, según PeckShield y Etherscan. Esa transferencia equivale a cerca del 75% del total sustraído; el atacante conservó 1.350 ETH (≈ 2,8–2,9 millones de dólares) como recompensa pactada.
Etherscan muestra que los fondos salieron de una cartera etiquetada como "Verus Exploiter 2" hacia la dirección 0xF9AB…C1A74. Minutos después de devolver la parte principal, el atacante movió los 1.350 ETH de la recompensa a una nueva dirección. PeckShield señaló tanto la devolución como la división de los fondos. En una publicación pública en X, Verus indicó que miembros de la comunidad y desarrolladores negociaron las condiciones, incluido el tamaño de la recompensa, las obligaciones del atacante y el procedimiento de devolución.
El exploit se produjo el 18 de mayo y, en un primer momento, drenó más de 11,5 millones de dólares del puente de Verus en Ethereum. PeckShield informó de que el botín incluía 103,6 tBTC, 1.625 ETH y casi 147.000 USDC. Posteriormente, el atacante canjeó los activos hasta convertirlos en unos 5.402 ETH (alrededor de 11,4 millones de dólares en el momento de los intercambios).
La firma de seguridad Blockaid atribuyó la brecha a la ausencia de validación del "sourceamount" en la lógica del puente, un fallo de comprobaciones que permitió aceptar un mensaje de transferencia crosschain falsificado. Blockaid subrayó que no se trató de un bypass de ECDSA, ni de una filtración de "notarykey", ni de un problema de parser o de "hashbinding".
En el mercado, parte de los observadores interpretó el acuerdo como una solución pragmática: recuperar el 75% de los activos se considera un resultado razonable frente al riesgo de perderlo todo en mixers. Otros advirtieron de que el episodio vuelve a poner de relieve riesgos estructurales en los puentes, citando debilidades de custodia centralizada y de validación, y apuntando a alternativas como los "atomic swaps" para reducir modos de fallo similares.
El caso de Verus se desmarca de muchos hackeos recientes de puentes porque la mayor parte del ETH drenado regresó a una dirección del equipo tras pactar la recompensa. En ataques anteriores, los fondos suelen terminar en mixers o permanecer bajo control del atacante. Aun así, el incidente llega en un contexto de fallos de seguridad crosschain: entre los casos recientes figuran el exploit de Butter Network, que hundió el precio del token MAPO, y el incidente de Echo Protocol/Monad, en el que un atacante acuñó aproximadamente 76,7 millones de dólares en eBTC no autorizado y movió fondos a través de Tornado Cash.
Los puentes siguen siendo una de las principales superficies de ataque en DeFi al concentrar activos entre cadenas. Una validación débil puede activar transferencias no autorizadas, permitir la emisión o el movimiento de reservas y facilitar la extracción de fondos antes de que los equipos reaccionen. La devolución en Verus muestra tanto la posible eficacia de las recuperaciones negociadas como la necesidad urgente de reforzar la validación y los modelos de custodia de los puentes en todo el ecosistema. La historia sigue en desarrollo; los datos onchain y los análisis de firmas de seguridad continúan siendo las fuentes más útiles para las próximas actualizaciones.