Comprometido el mecanismo de verificación del puente de Taiko: piden retirar fondos tras un exploit de más de 1 millón de dólares
Taiko ha reconocido un fallo crítico en su mecanismo de verificación del estado de la cadena que deja sin efecto las garantías de seguridad de todos los puentes desplegados en la red. En un aviso de seguridad, el proyecto admite que ya no se puede confiar en los supuestos básicos que sostienen su arquitectura de puentes. La recomendación a los usuarios es retirar fondos de inmediato, y se ha solicitado a los exchanges centralizados que congelen los depósitos de TAIKO hasta nuevo aviso.
La alerta llega después de que un atacante drenara más de 1 millón de dólares del ERC20 Vault en Ethereum, según detectó primero la firma de seguridad on-chain Blockaid. Su análisis preliminar atribuye el origen a un defecto en el mecanismo de verificación de pruebas "sourcesignal" del puente de Taiko, encargado de validar la corrección de las transiciones de estado entre redes. Si un actor malicioso puede falsificar o saltarse esas pruebas, los fondos bloqueados en el puente quedan expuestos.
El foco del ataque fue el ERC20 Vault, el contrato más sensible en la arquitectura de un puente al custodiar los depósitos que respaldan los tokens envueltos (wrapped) entre cadenas. Blockaid eleva las pérdidas por encima del umbral de 1 millón de dólares y advierte de que el alcance podría ampliarse si los usuarios no actúan con rapidez. Taiko, por su parte, evita minimizar el incidente y subraya que ya no es posible confiar en las asunciones de seguridad de todos los puentes desplegados, un mensaje que apunta a un fallo a nivel de diseño y no a un error aislado.
Taiko ha dado instrucciones directas: retirar fondos de todos los puentes afectados. En paralelo, ha pedido a los exchanges centralizados suspender los depósitos de TAIKO, una medida destinada a frenar la entrada de liquidez en un entorno comprometido. El bloqueo de depósitos puede tensar la liquidez en mercados spot de TAIKO al limitar flujos de arbitraje y reposición; en estos escenarios, los creadores de mercado suelen ampliar spreads o reducir exposición cuando aún no está clara la magnitud real del incidente.
Los exploits en puentes siguen siendo una de las categorías más costosas de hackeos cripto. Aunque este caso no sería el mayor registrado, la caída de las hipótesis de verificación lo sitúa en un nivel de riesgo superior. El episodio también refuerza la idea de que el aumento de actividad de desarrollo en distintas cadenas no se traduce necesariamente en seguridad cross-chain robusta: a medida que se añaden capas de verificación, crece la superficie de ataque. Sin verificación formal y monitorización en tiempo real como estándar, incidentes de este tipo seguirán repitiéndose.
Quedan varias incógnitas relevantes. El daño total aún no está cuantificado: la cifra de más de 1 millón de dólares puede ser solo el mínimo. Tampoco está claro si el atacante mantiene la capacidad de manipular la verificación de pruebas para drenar fondos adicionales de otros pools. Por último, Taiko no ha ofrecido un calendario ni detalles sobre si desplegará una corrección, cuándo lo haría o en qué consistiría.
Para los usuarios que no retiren a tiempo, el riesgo es quedar expuestos en un sistema que, por ahora, no ofrece garantías creíbles. También está por ver el impacto sobre el token TAIKO: la suspensión repentina de depósitos suele provocar desajustes de precio, y cualquier señal de deterioro del modelo de seguridad puede erosionar la confianza con rapidez. El mercado estará pendiente de los próximos pasos del equipo de Taiko y, en particular, de detalles técnicos sobre el mecanismo del exploit, que determinarán si se trata de un susto puntual o de un problema más profundo para las ambiciones cross-chain del proyecto.
