Fuga de claves de acceso: tres protocolos DeFi perdieron $35,5 millones en un solo día
En las últimas 24 horas, tres protocolos DeFi — AFX, B² Network y Verus — perdieron en conjunto aproximadamente $35,5 millones. Es notable que ninguno de los incidentes estuvo relacionado con la explotación de vulnerabilidades en el código de los contratos inteligentes. Los ataques se llevaron a cabo exclusivamente mediante la compromisión de claves de acceso y privilegios administrativos.
AFX: pérdida de $24 millones por robo de claves de validador
El golpe más grande recayó sobre el protocolo AFX, que opera en la red Arbitrum. Los atacantes robaron las claves del validador del puente, lo que les permitió retirar aproximadamente $24 millones en USDC. En cuestión de minutos, los fondos fueron transferidos a Ethereum y convertidos en 12.467,5 ETH. Todos los activos robados están actualmente concentrados en una sola dirección, lo que indica una operación bien planificada.
B² Network: $3,86 millones mediante actualización del contrato de staking
El segundo objetivo fue el protocolo B² en BNB Chain. Los hackers interceptaron los derechos de actualización del contrato de staking y retiraron 8,591 millones de tokens B2 por un valor aproximado de $3,86 millones. Tras el robo, los atacantes intercambiaron los activos por más de 5000 WBNB, luego por 1128 ETH y retiraron los fondos a través de NEAR Intents. Esto provocó una caída instantánea del 15% en el precio del token nativo B2.
Verus: ataque recurrente a través de la ruta de confianza del puente
La tercera víctima fue el puente Verus, que perdió aproximadamente $7,5 millones. Es interesante que el ataque se realizó a través de la misma vulnerabilidad que en la ocasión anterior: la ruta de confianza del puente. El atacante comenzó casi de inmediato a blanquear los fondos a través de Tornado Cash, lo que dificulta su rastreo.
Cambio de paradigma: del código a las claves
Estos tres incidentes confirman una tendencia alarmante: los hackers atacan cada vez menos el código de los contratos inteligentes, que ahora pasa por auditorías exhaustivas. En su lugar, se centran en los privilegios administrativos y las claves de acceso. Según estimaciones, en 2026 aproximadamente el 40% de todos los criptoactivos robados correspondieron a la compromisión de claves, y no a hackeos de contratos.
Opinión de experto: Esta ola de ataques es una señal seria para toda la industria. Los protocolos pueden tener un código impecable, pero si su seguridad se basa en claves centralizadas y derechos administrativos, siguen siendo vulnerables. La transición a la multifirma, las carteras de hardware y los esquemas de gobernanza descentralizada ya no es una opción, sino una necesidad para la supervivencia.