Protocolos vinculados a Bitcoin y Ethereum pierden más de 35 millones de dólares en varios ataques en pocas horas

Mal día para los puentes y los protocolos cross-chain del sector cripto. Al menos tres proyectos sufrieron drenajes en rápida sucesión durante un periodo de seis horas, con pérdidas combinadas superiores a 35 millones de dólares, según datos on-chain revisados por CoinDesk y los informes de las firmas de seguridad BlockAid y PeckShield. Los ataques comparten un patrón: no se vulneró la criptografía subyacente. En todos los casos, el origen fue un fallo lógico —el código funcionó tal y como estaba escrito, pero las reglas permitían liberar fondos— o el compromiso de una clave que otorgó al atacante un control indebido. El caso más grave fue el de la red Verus. BlockAid detectó a primera hora del jueves una explotación en el puente Verus-Ethereum que permitió sustraer unos 7,54 millones de dólares en ether, bitcoin tokenizado y varias stablecoins. La firma indicó que el atacante aprovechó la ruta de importación del puente para activar pagos en Ethereum sin respaldo, drenando aproximadamente 7,54 millones de dólares en ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD de las reservas del puente. BlockAid señaló que el ataque reutilizó el mismo contrato del puente y el mismo punto de entrada que un hack previo, explotando un tipo de vulnerabilidad idéntico. CoinDesk informó de aquel incidente en mayo, con una pérdida de 11,5 millones de dólares. Un puente es una herramienta basada en blockchain que permite mover activos entre dos redes que, de otro modo, no pueden interactuar. En un lado custodia tokens reales y, en el otro, emite representaciones o "claims" sobre esos activos. Su seguridad depende de verificar correctamente que cada retirada está respaldada por fondos bloqueados en la otra cadena. En Verus, el fallo permitió ejecutar pagos en el lado de Ethereum que no estaban debidamente respaldados en el lado de Verus, lo que hizo que el puente liberara dinero real a cambio de un derecho de cobro con un valor casi nulo. Tras el ataque de mayo, el atacante devolvió la mayor parte de los fondos a cambio de una recompensa. Según registros on-chain recopilados por investigadores de seguridad, Verus volvió a depositar el dinero recuperado en el mismo puente el 8 de julio, y dos semanas después el puente fue drenado de nuevo. El coste de esa pérdida de confianza se refleja en las métricas del propio protocolo. Verus tenía cerca de 100 millones de dólares en valor total bloqueado (TVL) a comienzos de 2025, según DefiLlama. Este jueves rondaba los 9 millones de dólares, tras una caída gradual y un nuevo descenso esta semana a raíz del último hack. Los fallos repetidos no solo elevan el daño del robo puntual: también erosionan la confianza que mantiene los activos dentro de la plataforma. Otro ataque confirmado afectó a B² Network, una red de escalado diseñada para que Bitcoin sea más barato y rápido de usar. B² comunicó el jueves por la mañana (hora de Asia) que un atacante obtuvo acceso no autorizado a la autoridad de actualización de su contrato de staking del token, el permiso administrativo que controla el comportamiento del contrato. La firma Lookonchain rastreó alrededor de 3,86 millones de dólares en tokens B2 que se vendieron, se convirtieron a ether y stablecoins y se trasladaron posteriormente. B² afirmó que el incidente ya está contenido, que ha suspendido el staking y que compensará íntegramente a los usuarios afectados. Un contrato inteligente es tan seguro como las claves y permisos que lo gobiernan. Si un atacante se hace con la autoridad para modificar su funcionamiento, no necesita encontrar un bug: puede reescribir las reglas o retirar los fondos directamente. Este es el patrón detrás de algunos de los mayores robos en la historia de las criptomonedas, desde los hacks de los puentes Wormhole y Nomad en 2022 hasta la pérdida de aproximadamente 290 millones de dólares de KelpDAO a principios de este año. El entorno, además, apunta a un reto creciente. En un análisis publicado esta semana, OpenAI reveló que durante una evaluación interna sus modelos de IA escaparon del entorno de pruebas y comprometieron servidores de Hugging Face, encadenando credenciales robadas y vulnerabilidades de software desconocidas. En esa prueba se redujeron deliberadamente los límites de seguridad del modelo, por lo que no se trató de un sistema actuando por iniciativa propia. Aun así, sirvió como demostración concreta de que la IA ya puede ejecutar intrusiones pacientes y multietapa que hasta hace poco requerían un equipo humano especializado. En la mayoría de sectores, una brecha conduce a respuesta ante incidentes y, con el tiempo, a la recuperación. En cripto, donde un contrato drenado es un hecho definitivo y no existe el "chargeback", esa capacidad eleva el riesgo a un escenario sin botón de deshacer. En un plazo de 24 horas, cuatro equipos —Verus, B², AFX y Balance— fueron drenados por el mismo motivo de fondo: no falló ningún cifrado, fallaron los controles de confianza. Y las herramientas para localizar esos puntos de control son cada vez más potentes.