Nueva era de ataques a DeFi: $35,5 millones robados sin un solo error en el código
En un solo día, tres protocolos DeFi — AFX, B² Network y Verus — perdieron un total de $35,5 millones. Pero lo más alarmante de esta historia no es la cantidad, sino el método. Ninguno de los ataques estuvo relacionado con una vulnerabilidad en contratos inteligentes. Los atacantes no piratearon el código; tomaron el control a través de claves y derechos administrativos.
Tres golpes en un solo día
La víctima más grande fue el protocolo AFX en la red Arbitrum, que perdió alrededor de $24 millones en USDC. La causa fue la compromisión de las claves del validador del puente. El hacker transfirió los fondos a Ethereum, los intercambió por 12.467,5 ETH y los retiró a una sola dirección.
El segundo ataque fue contra el protocolo B² en BNB Chain. El atacante interceptó los derechos de actualización del contrato de staking y robó 8,591 millones de tokens B2 por un valor de aproximadamente $3,86 millones. Tras intercambiar los activos por 5000 WBNB y 1128 ETH, los fondos fueron retirados a través de NEAR Intents. El token nativo del proyecto se desplomó un 15%.
El tercer objetivo fue el puente Verus. El ataque se realizó a través de la ruta confiable del puente, por segunda vez utilizando la misma vulnerabilidad. El puente Ethereum de Verus perdió alrededor de $7,5 millones, y el hacker comenzó inmediatamente a lavar los fondos a través de Tornado Cash.
Las claves se convierten en un nuevo objetivo
Esta serie de ataques refleja un cambio fundamental en las tácticas de los atacantes. Antes, los hackers buscaban errores en el código, pero hoy la mayoría de los contratos pasan por auditorías estrictas y cada vez hay menos fallos lógicos. En su lugar, los atacantes se centran en las claves de acceso, los derechos administrativos y las autorizaciones para actualizar contratos.
Las estadísticas confirman esta tendencia: en 2026, aproximadamente el 40% de todas las criptomonedas robadas se debieron a la compromisión de claves, no a hackeos de contratos inteligentes. Los propios puentes siguen siendo resistentes a los ataques, pero su protección —las claves de acceso— resulta ser el eslabón débil.
Mi conclusión: La industria DeFi debe revisar urgentemente su enfoque hacia la gestión de claves y privilegios administrativos. La firma múltiple, las billeteras de hardware y los sistemas de gestión descentralizados no son solo recomendaciones, sino una necesidad. Mientras los protocolos dependan de claves centralizadas, seguirán siendo vulnerables a ataques que no dejan rastro en el código.