$35,5 millones por día: los hackers atacan los puentes DeFi no a través del código, sino a través de las claves
En un solo día, tres protocolos DeFi — AFX, B² Network y Verus — perdieron un total de $35,5 millones. Y ninguno de estos ataques estuvo relacionado con un error en el código de los contratos inteligentes. Esto no es una casualidad, sino una clara señal de un cambio en el vector de los ataques.
Según mis datos, el golpe más grande lo recibió el protocolo AFX, que perdió alrededor de $24 millones en USDC en la red Arbitrum. El atacante comprometió las claves del validador del puente, transfirió los fondos a Ethereum, los cambió por 12 467,5 ETH y los fijó en una sola dirección. El segundo objetivo fue el puente B² en BNB Chain: el hacker interceptó los derechos de actualización del contrato de staking y retiró 8,591 millones de tokens B2 por un valor aproximado de $3,86 millones. Los activos robados se convirtieron en 5000 WBNB, luego en 1128 ETH y se retiraron a través de NEAR Intents. El token B2 se desplomó un 15% casi de inmediato. La tercera víctima fue el puente Verus, que perdió alrededor de $7,5 millones — y el ataque se realizó a través de la misma vulnerabilidad de ruta de confianza del puente que en ocasiones anteriores. Los fondos comenzaron a ser blanqueados de inmediato a través de Tornado Cash.
Claves en lugar de código: una nueva era de ataques
Los tres casos demuestran una táctica fundamentalmente nueva. Antes, los hackers buscaban fallos en la lógica de los contratos inteligentes, pero hoy en día las auditorías de código se han convertido en un estándar y este tipo de vulnerabilidades son cada vez menos frecuentes. En su lugar, los atacantes toman el control del propio mecanismo de gestión: las claves, los derechos administrativos y las autorizaciones para actualizar contratos.
La magnitud del problema se confirma con las estadísticas: en 2026, aproximadamente el 40% de todos los fondos robados en criptomonedas se debió a la compromisión de claves, no a hackeos de código. Los puentes siguen resistiendo ataques a nivel de contratos, pero su protección se derrumba cuando las claves de acceso son el objetivo.
Mi conclusión: la industria sobrevaloró la seguridad del código y subestimó la gestión de accesos. Mientras los equipos de los protocolos DeFi no implementen una protección multifactorial de las claves y una rotación de los privilegios administrativos, la ola de este tipo de ataques seguirá creciendo.