Dos ataques a puentes cripto en un día dejan pérdidas por más de 31 millones de dólares
El mundo de las finanzas descentralizadas vivió una jornada especialmente difícil con dos ataques separados contra infraestructura de puentes blockchain que, en conjunto, resultaron en pérdidas superiores a los 31 millones de dólares. Los incidentes volvieron a poner el foco sobre uno de los puntos más vulnerables del ecosistema cripto: los mecanismos que permiten transferir activos entre distintas redes.
AFX Trade: 24 millones desaparecidos en minutos
El golpe más cuantioso lo sufrió AFX Trade, un exchange descentralizado de contratos perpetuos que opera sobre la red Arbitrum. Un atacante logró vaciar el puente de custodia propio de la plataforma, llevándose aproximadamente 24,15 millones de dólares en USDC.
Según revelaron firmas especializadas en seguridad blockchain como Blockaid y PeckShield, el método utilizado no fue especialmente sofisticado en su concepción, aunque sí en su ejecución: el atacante obtuvo suficientes firmas de los llamados «validadores calientes» del puente —los nodos encargados de autorizar movimientos de fondos— para que el sistema aprobara una transferencia masiva de forma aparentemente legítima. En otras palabras, comprometió las claves privadas que controlan ese mecanismo de aprobación.
Una vez que los fondos salieron de las arcas del protocolo, el responsable actuó con rapidez para dificultar cualquier rastreo o recuperación. Trasladó el USDC robado desde Arbitrum hacia la red principal de Ethereum y allí lo convirtió en aproximadamente 12.467 ETH, un movimiento clásico en este tipo de robos que busca alejarse de activos fácilmente bloqueables, como las stablecoins, cuyo emisor puede congelar saldos en determinadas direcciones.
Desde Arbitrum, el equipo de la red se apresuró a aclarar que su puente nativo no estuvo involucrado ni comprometido en ningún momento. El fallo residió exclusivamente en la infraestructura propia de AFX Trade, una distinción importante para evitar que la confianza en la red subyacente se vea afectada.
Ante la magnitud del daño, el equipo de AFX Trade recurrió a una táctica cada vez más común en el sector: ofrecer públicamente al atacante el 30% de los fondos robados —algo más de 7 millones de dólares— a cambio de la devolución del resto. Este tipo de negociaciones en cadena, aunque puedan parecer insólitas, han funcionado en algunas ocasiones pasadas, ya que los atacantes saben que mover grandes sumas de ETH sin ser rastreados es cada vez más complicado.
El puente Verus-Ethereum: la misma brecha, dos veces
El segundo incidente del día involucró al puente que conecta la red Verus con Ethereum. En este caso, la pérdida ascendió a 7,54 millones de dólares y el detalle más alarmante es que no se trató de una vulnerabilidad nueva: el atacante explotó exactamente la misma clase de fallo que ya había sido aprovechada en un ataque anterior ocurrido apenas dos meses antes, en mayo.
Así lo confirmó Blockaid, la empresa de seguridad que también monitoreó el caso de AFX Trade. Que una vulnerabilidad conocida y previamente explotada siga activa semanas después es una señal preocupante sobre el ritmo con el que algunos proyectos abordan las correcciones de seguridad. En el ecosistema DeFi, donde los contratos inteligentes manejan fondos reales de forma autónoma, cada día que pasa sin parchear un fallo conocido representa un riesgo concreto para los usuarios.
Los puentes, el eslabón más débil de DeFi
Ambos ataques refuerzan una tendencia documentada durante los últimos años: los puentes entre blockchains concentran una proporción desproporcionada de los robos en el ecosistema cripto. La razón es estructural. Estos sistemas deben gestionar fondos bloqueados en una cadena mientras emiten representaciones de esos activos en otra, lo que implica custodiar grandes sumas y coordinar validaciones entre entornos tecnológicos distintos. Cada punto de esa cadena puede convertirse en un vector de ataque.
Según datos históricos del sector, los exploits a puentes han representado históricamente más de la mitad del valor total robado en incidentes DeFi, con casos emblemáticos como los de Ronin Network (625 millones en 2022) o Wormhole (320 millones ese mismo año) marcando el techo de lo que este tipo de ataques puede llegar a costar.
Por ahora, los fondos de AFX Trade siguen en manos del atacante y la negociación sigue abierta. En el caso de Verus, la comunidad espera una respuesta del equipo sobre cómo planea cerrar definitivamente la brecha que ya costó caro en dos ocasiones.