Llaves, no código: Hackers extrajeron $35,5 millones de tres protocolos DeFi en un solo día
En las últimas 24 horas, tres protocolos DeFi — AFX, B² Network y Verus — perdieron un total combinado de $35.5 millones. Es notable que ninguno de los ataques estuvo relacionado con la explotación de errores en contratos inteligentes. Los hackers se centraron en tomar el control administrativo y comprometer las claves de acceso, en lugar de vulnerar el código.
El golpe más grande fue contra el protocolo AFX basado en Arbitrum. Según mis datos, los atacantes robaron aproximadamente $24 millones en USDC, transfiriendo los fondos a Ethereum y cambiándolos por 12,467.5 ETH. La causa fue el robo de las claves del validador del puente. Este es un ejemplo clásico de cómo una vulnerabilidad de infraestructura, y no un error lógico, conduce a pérdidas catastróficas.
El segundo incidente afectó a B² Network en BNB Chain. El hacker interceptó el derecho de actualización del contrato de staking y retiró 8.591 millones de tokens B2 por un valor de aproximadamente $3.86 millones. Los activos robados se convirtieron en 5,000 WBNB, luego en 1,128 ETH y se blanquearon a través de NEAR Intents. El mercado reaccionó de inmediato: el token nativo B2 se desplomó un 15%.
La tercera víctima fue el puente Verus. El atacante reutilizó la misma vulnerabilidad que en el ataque anterior: la ruta de confianza del puente. El daño ascendió a aproximadamente $7.5 millones. El hacker comenzó inmediatamente a blanquear los fondos a través de Tornado Cash, lo que confirma un alto nivel de profesionalismo.
Nuevo paradigma de amenazas: del código al control
Como ya he señalado en repetidas ocasiones, el mercado DeFi está experimentando una transformación fundamental en los vectores de ataque. Antes, los hackers buscaban errores en los contratos inteligentes, pero hoy la auditoría de código se ha convertido en un estándar, y los "agujeros" en la lógica han disminuido significativamente. Ahora los atacantes no atacan el código, sino el sistema de gestión: claves, derechos administrativos y permisos para actualizar contratos.
Las estadísticas confirman esta tendencia: en 2026, aproximadamente el 40% de todos los fondos robados en criptomonedas se debieron a la compromisión de claves, no a hackeos de contratos inteligentes. Los propios puentes siguen siendo resistentes a ataques directos, pero su protección —las claves de acceso— se convierte en el eslabón débil.
Mi conclusión: la industria debe revisar urgentemente los enfoques de gestión de privilegios. Las multifirmas, los módulos de seguridad de hardware y los procedimientos estrictos de rotación de claves no son solo "mejores prácticas", sino una necesidad. Ignorar este riesgo conducirá a nuevas pérdidas multimillonarias, mientras el código permanecerá intacto. Estamos al borde de una era donde la seguridad de DeFi no está determinada por la calidad de los contratos, sino por la calidad de la gestión de accesos.