Tres protocolos DeFi perdieron $35,5 millones en un día: los hackers atacan a través de claves, no del código
En un solo día, tres protocolos DeFi — AFX, B² Network y Verus — perdieron un total de $35,5 millones. Es notable que ninguno de los ataques estuvo relacionado con vulnerabilidades en contratos inteligentes. En su lugar, los atacantes tomaron el control a través de claves de acceso y privilegios administrativos.
El golpe más grande fue contra el protocolo AFX en Arbitrum. Las pérdidas ascendieron a aproximadamente $24 millones en USDC. El hacker, tras obtener acceso a las claves del validador del puente, transfirió los fondos a Ethereum y los convirtió en 12.467,5 ETH, que se acumularon en una sola dirección. Sin hackeo de código, solo compromiso de claves.
B² Network y Verus: continuación de la tendencia
El segundo objetivo fue el protocolo B² en BNB Chain. El atacante interceptó el derecho a actualizar el contrato de staking. Como resultado, se robaron 8,591 millones de tokens B2 por un valor de aproximadamente $3,86 millones. El hacker los intercambió por más de 5000 WBNB, luego por 1128 ETH y retiró los fondos a través de NEAR Intents. El token nativo del proyecto, B2, se desplomó un 15% inmediatamente después del incidente.
La tercera víctima fue el puente Verus. El atacante utilizó una ruta de confianza del puente, y ya era la segunda vez que explotaba la misma vulnerabilidad. El puente Ethereum de Verus perdió aproximadamente $7,5 millones. El atacante comenzó casi de inmediato a lavar lo robado a través de Tornado Cash.
Nuevo paradigma de ataques: claves en lugar de código
Los tres casos reflejan un cambio fundamental en las tácticas de los hackers. Antes, los ataques explotaban errores en el código, pero ahora los desarrolladores verifican la mayoría de los contratos con auditorías de IA, y los agujeros en la lógica se han reducido significativamente. En su lugar, los atacantes toman el control del código de otras maneras: a través de claves, derechos administrativos y permisos para actualizar contratos. El enfoque se desplaza del nivel de vulnerabilidades al nivel de acceso.
La magnitud del problema se confirma con estadísticas: en 2026, aproximadamente el 40% de toda la criptomoneda robada se debió al compromiso de claves, no a hackeos de contratos inteligentes. La conclusión principal es que los propios puentes resisten los ataques, pero su protección se rompe: las claves de acceso.
Comentario del analista: El mercado DeFi entra en una nueva era, donde la seguridad de la infraestructura no es solo auditoría de código, sino también un control estricto sobre las claves y los privilegios. Los proyectos que ignoren este aspecto deberían prepararse para repetir el escenario de AFX, B² y Verus.