Exploits de puentes entre cadenas
Colateral real de un lado, un derecho del otro. Si la verificación falla, gana el derecho.
Todo puente es la misma promesa en distinto código: bloquea valor aquí, emite un derecho allá y deja que un verificador jure que ambos coinciden. El verificador es todo el modelo de seguridad, y suele ser lo menos revisado del stack.
Los exploits reunidos aquí son fallos de prueba, no de criptografía: un mensaje aceptado sin validar, un DVN que firmó lo que debía rechazar, un router que confió en quien lo llamaba. Cada caso muestra la línea exacta donde la promesa dejó de cumplirse.
Cómo funciona
Bloquear y emitir
El colateral queda en la cadena A. La cadena B emite su representación. La solvencia depende de que ambas sigan sincronizadas.
El hueco de verificación
Un mensaje falsificado, un quórum alcanzable en solitario o una comprobación ausente permiten emitir en B sin bloquear en A.
La salida
El activo fantasma se cambia por liquidez real en minutos y se puentea antes de que la gobernanza pueda pausar nada.
Investigaciones de este vector
Hackeo Router Aztec: $2.19M de un Puente Inmutable
El Router de Aztec liberó $2.19M sin depósitos L2 detrás: un desajuste entre prueba y liquidación en un contrato sin pausa.
Leer la investigaciónHackeo Drift: $285M Vaciados en 12 Minutos
Un token DRIFT falso falsificó un conteo CarbonVote, tomó el control de la bóveda y movió $285M en 12 minutos. Desglose transacción a transacción.
Leer la investigaciónKelpDAO + LayerZero: $292M Por Un Fallo De DVN
Un DVN de LayerZero comprometido liberó 116.500 rsETH (~$292M) del puente de KelpDAO. LayerZero y Kelp se disputan quién eligió la config 1-de-1.
Leer la investigaciónHyperbridge $1.2B DOT Falso: Mint Function Sin Control
Un modificador de control de acceso ausente permitió mintear $1.2B de DOT sin respaldo en Ethereum vía Hyperbridge. Cronología y evidencia on-chain.
Leer la investigaciónHackeo Puente CrossCurve: $3M Robados en 15 Min [2026]
Un mensaje falso. Cero validación. $3M drenados en 3 cadenas en una sola transacción. La auditoría pasó — el puente no. Flujo del exploit completo.
Leer la investigaciónHackeo Puente IoTeX: 1 Clave Filtrada Drenó $8.8M [2026]
Una clave filtrada. $8.8M en minutos. El puente ioTube sin protección. Cronología y cómo verificar si tus tokens fueron afectados.
Leer la investigaciónSeñales de alerta
- El conjunto de verificadores es pequeño, permisionado o lo opera el mismo equipo del puente.
- Las claves de actualización son un multisig con umbral bajo y sin timelock.
- El valor bloqueado supera con mucho el alcance de la última auditoría.
- El suministro envuelto en destino se ha desviado del colateral bloqueado.
- El comunicado llega horas después de que los investigadores on-chain ya publicaran.
Si ya te ocurrió
- 1.Sal de las posiciones envueltas antes de que el peg siga a la noticia: los depegs son rápidos.
- 2.Revoca las aprobaciones al router del puente; los routers explotados se reutilizan.
- 3.Sigue el post-mortem oficial por si fijan un bloque de snapshot y guarda prueba de tu posición.
- 4.Desconfía de los 'portales de recuperación' anunciados en respuestas: son la segunda ola del ataque.
Vocabulario relacionado
¿Tienes un mensaje, enlace o token sospechoso?
Pégalo en el detector gratuito. Sin registro, sin coste, respuesta en segundos.