Nueva era de ciberataques: tres protocolos DeFi perdieron $35,5 millones debido a la compromisión de claves, no del código
En un solo día, tres protocolos DeFi — AFX, B² Network y Verus — perdieron colectivamente $35,5 millones. Es notable que ninguno de estos ataques estuvo relacionado con vulnerabilidades en contratos inteligentes. Según datos de un analista y exdesarrollador principal de NEAR, los hackers han cambiado a una táctica fundamentalmente nueva: tomar el control a través de claves y derechos administrativos.
Tres golpes en 24 horas
La mayor pérdida correspondió al protocolo AFX, que en la red Arbitrum perdió alrededor de $24 millones en USDC. El atacante obtuvo las claves del validador del puente, transfirió los fondos a Ethereum y los convirtió en 12.467,5 ETH, que quedaron depositados en una sola dirección.
El segundo objetivo fue el protocolo B² en BNB Chain. El hacker interceptó el derecho de actualización del contrato de staking y robó 8,591 millones de tokens B2 por un valor de aproximadamente $3,86 millones. Posteriormente, los activos robados se intercambiaron por más de 5000 WBNB, luego por 1128 ETH y se retiraron a través de NEAR Intents. El token nativo del proyecto B2 perdió instantáneamente un 15% de su valor.
La tercera víctima fue el puente Verus. El atacante utilizó una ruta de confianza del puente, siendo este el segundo caso de explotación de la misma vulnerabilidad. El puente Ethereum de Verus perdió alrededor de $7,5 millones. Casi inmediatamente después del robo, el hacker comenzó a lavar los fondos a través de Tornado Cash.
Las claves: el nuevo eslabón débil
Los tres incidentes indican un cambio de paradigma en los ciberataques a DeFi. Antes, los hackers explotaban errores en el código, pero hoy la mayoría de los contratos pasan por auditorías estrictas, y los "agujeros" en la lógica se han reducido significativamente. Ahora, los atacantes toman el control del código de otras maneras: a través de claves, derechos administrativos y permisos de actualización de contratos. El enfoque se desplaza de las vulnerabilidades al nivel de acceso.
La magnitud del problema se confirma con estadísticas: en 2026, aproximadamente el 40% de toda la criptomoneda robada se debió a la compromisión de claves, no a hackeos de contratos inteligentes. Los propios puentes resisten los ataques, pero su protección se rompe: las claves de acceso.
Opinión de experto: Esta tendencia es una señal alarmante para toda la industria. Los proyectos invierten millones en auditorías de código, pero olvidan el elemento más vulnerable: el factor humano y la gestión de claves. Mientras las billeteras multifirma y los sistemas de gestión de acceso no se conviertan en el estándar de seguridad, seguiremos viendo cada vez más de estos hackeos "sin código".