Un ataque al TokenBridge de Alephium en Ethereum vacía 815.000 dólares en siete minutos
En lo que va de 2026, los ataques a infraestructuras cripto no dan tregua. La firma de seguridad blockchain Blockaid detectó el 30 de mayo un nuevo exploit contra el Alephium TokenBridge en Ethereum.
Según la investigación, los atacantes lograron usar tres de las cuatro claves privadas de los "guardianes" del puente para firmar VAAs (Verified Action Approvals) falsificados. Con esas firmas, en apenas siete minutos drenaron 815.000 dólares.
El Alephium TokenBridge conecta Ethereum con la blockchain de Alephium. Cuando un usuario pasa de Alephium a Ethereum [ETH], el ALPH real queda bloqueado en una de las cadenas y, en Ethereum, se emite una versión envuelta (wALPH). Para autorizar esa acuñación, tres guardianes deben confirmar que el bloqueo se ha realizado. El sistema también exige firmas de guardianes para validar transferencias cross-chain: cualquier mensaje necesita la aprobación de tres de los cuatro.
En este caso, los atacantes obtuvieron de algún modo tres claves privadas de guardianes. Con ellas fabricaron mensajes de puente fraudulentos (VAAs) y los hicieron pasar por legítimos.
El giro del "mint" no se limitó a crear wALPH. Los VAAs falsificados también ordenaron al puente liberar activos ya retenidos. Al convencer al sistema de que existían retiradas válidas, se desbloquearon Tether [USDT], USD Coin [USDC], Wrapped Bitcoin (WBTC) y Wrapped Ether (WETH).
Sin realizar ningún depósito real de ALPH, los atacantes acuñaron 13,76 millones de ALPH envuelto. Blockaid señala que esa cifra superaba el 100% de la oferta envuelta disponible previamente, lo que equivale a generar una gran cantidad de activos supuestamente respaldados por ALPH de la nada.
El patrón recuerda al exploit de Wormhole Bridge, donde se crearon activos sin colateral y se falsificaron mensajes del puente. Llega además tras el reciente ataque al puente VerusEthereum, que vació aproximadamente 11,58 millones de dólares.
En síntesis: tres de cuatro claves de guardianes comprometidas bastaron para drenar 815.000 dólares en siete minutos, y para acuñar 13,76 millones de wALPH sin depositar ALPH.
