Nueva era de ciberataques: hackers retiraron $35,5 millones de tres puentes DeFi sin vulnerar ni una línea de código
En un solo día, tres protocolos DeFi — AFX, B² Network y Verus — perdieron un total combinado de $35,5 millones. Pero lo más notable aquí no es la cantidad, sino el método: ninguno de los ataques estuvo relacionado con una vulnerabilidad en contratos inteligentes. No se trata de un error en la lógica del puente, sino de una comprometida del control.
Tres objetivos, una tendencia
El golpe más grande fue contra el protocolo AFX, que opera en Arbitrum. El atacante obtuvo acceso a las claves del validador del puente y retiró aproximadamente $24 millones en USDC. Los fondos se transfirieron instantáneamente a Ethereum y se convirtieron en 12.467,5 ETH, que terminaron en una sola dirección. Sin exploits complejos, solo claves robadas.
El segundo incidente afectó a B² Network en BNB Chain. El hacker tomó el control de los derechos de actualización del contrato de staking y se llevó 8,591 millones de tokens B2, por un valor aproximado de $3,86 millones. Posteriormente, el atacante convirtió los activos en WBNB, luego en ETH y los transfirió a través de NEAR Intents. El token nativo del proyecto, B2, reaccionó con una caída instantánea del 15%.
La tercera víctima fue el puente Verus. El daño ascendió a unos $7,5 millones. Es notable que el atacante utilizó la misma vulnerabilidad que en el ataque anterior a este protocolo: la ruta de confianza del puente. Casi inmediatamente después del robo, los fondos comenzaron a ser lavados a través de Tornado Cash.
Las claves se han convertido en el nuevo objetivo
Los tres casos confirman un cambio en la táctica de los hackers. Antes, el principal vector de ataque eran los errores en el código de los contratos inteligentes. Ahora, a medida que la industria presta más atención a las auditorías y la verificación formal, los atacantes se han centrado en lo que protege ese código: las claves de acceso y los privilegios administrativos.
La magnitud del problema se confirma con las estadísticas: en 2026, aproximadamente el 40% de todos los fondos robados en criptomonedas se debió a la comprometida de claves, no a hackeos de código. Los puentes siguen resistiendo ataques a la lógica, pero su defensa —la gestión de accesos— continúa fallando.
Comentario del analista: El sector DeFi está entrando en una nueva fase de madurez, donde el código se vuelve más robusto, pero el factor humano y la gestión de claves siguen siendo el eslabón más débil. Mientras Safe y las multifirmas no se conviertan en el estándar para todos los puentes entre cadenas, seguiremos viendo incidentes como estos una y otra vez.