Otro puente cripto hackeado: Verus Bridge sufre exploit por USD $11,58 millones

El puente entre Verus y Ethereum sufrió un exploit que permitió drenar cerca de USD $11,58 millones en minutos. El caso no responde al patrón clásico de bug en contratos inteligentes, sino a una falla de validación económica que dejó al descubierto uno de los riesgos más serios en la infraestructura cross-chain.

***

• Un atacante drenó aproximadamente USD $11,58 millones del Verus-Ethereum Bridge el 18 de mayo de 2026.
• La falla permitió liberar fondos en Ethereum sin comprobar correctamente el respaldo real del lado de Verus.
• El incidente se suma a un 2026 marcado por fuertes pérdidas en DeFi, con más de USD $750 millones robados.

 

---

El ecosistema cripto registró un nuevo incidente de seguridad luego de que el Verus-Ethereum Bridge fuera explotado el 18 de mayo de 2026. El ataque permitió drenar aproximadamente USD $11,58 millones en cuestión de minutos, en un episodio que volvió a poner bajo presión a los puentes entre redes, una de las piezas más sensibles de la infraestructura blockchain.

De acuerdo con el reporte citado por Yahoo Finance, la alerta inicial fue emitida por la firma de seguridad Blockaid, que identificó actividad sospechosa en torno al contrato del puente cerca de las 00:54 GMT. La situación ganó notoriedad con rapidez porque Verus había defendido durante largo tiempo que su puente era “trustless” y resistente a los riesgos que han afectado a otros sistemas cross-chain.

Sin embargo, el incidente no respondió al tipo de fallo más habitual en DeFi. No se trató de un ataque de reentrancy ni de una filtración de claves privadas. El problema, según los investigadores, surgió de una brecha de validación entre los lados de Verus y Ethereum, lo que permitió liberar activos en una red sin confirmar correctamente que existiera respaldo suficiente en la otra.

Vale señalar que un puente blockchain funciona como un mecanismo para mover valor entre dos redes distintas. Su seguridad depende no solo de pruebas criptográficas, sino también de reglas lógicas y económicas que aseguren que cada activo emitido o liberado tenga un respaldo real equivalente en la cadena opuesta.

Cómo se ejecutó el exploit

Según los datos on-chain reseñados en la cobertura original, el atacante utilizó la dirección 0x5aBb91B9c01A5Ed3aE762d32B236595B459D5777 para iniciar la operación. Más tarde, los fondos drenados fueron enviados a otra billetera, aunque al momento del reporte no se había observado un movimiento posterior relevante del botín.

PeckShield y otros investigadores indicaron que la billetera empleada en el ataque había sido fondeada con ETH 1 a través de Tornado Cash unas 14 horas antes del exploit. Ese detalle elevó las sospechas de que se trató de una operación planificada y no de un evento casual. También llamó la atención el momento del incidente, ya que Verus había publicado apenas dos días antes una actualización de emergencia descrita como urgente y obligatoria para corregir otra vulnerabilidad distinta.

La mecánica del ataque resultó especialmente delicada porque el puente sí verificaba firmas, raíces de estado y pruebas de Merkle. En apariencia, la transacción presentada por el atacante cumplía con los requisitos criptográficos esperados. El fallo estuvo en que el sistema no confirmó de forma adecuada si los activos reclamados en Ethereum estaban realmente respaldados por suficiente valor en el lado de Verus.

En términos simples, el atacante logró presentar una transacción que parecía válida desde el punto de vista criptográfico, pese a contar con un respaldo casi nulo. Eso abrió la puerta a la liberación de ETH 1.625, tBTC 103,6 y USDC 147.000. Posteriormente, esos activos fueron intercambiados en Uniswap por unos ETH 5.402, con un valor estimado de USD $11,4 millones al momento del ataque.

Una falla pequeña en código, pero grande en impacto

Uno de los puntos más inquietantes del caso es que, según los investigadores de seguridad, el problema pudo haber sido prevenido con una cantidad relativamente pequeña de código adicional enfocada en comprobaciones de respaldo. Esa observación sugiere que el incidente no fue producto de una debilidad criptográfica profunda, sino de una omisión en la lógica económica del protocolo.

Este matiz es importante porque muchos proyectos blockchain promocionan sus puentes como sistemas sin confianza en terceros. No obstante, la experiencia reciente indica que la ausencia de custodios centralizados no elimina automáticamente los riesgos. Un diseño puede ser sólido en firmas y pruebas, pero seguir siendo vulnerable si no verifica con rigor que el valor emitido o liberado conserve paridad real entre ambas cadenas.

Al momento de la publicación original, los fondos robados seguían inmóviles en la billetera del atacante. Debido a que la ventana de vulnerabilidad podría no haberse cerrado por completo, algunos investigadores continuaban considerando que el exploit seguía activo. Verus todavía no había divulgado un informe post-mortem completo, aunque dentro de la comunidad ya habían comenzado conversaciones sobre posibles reembolsos y cobertura mediante seguros.

Ese punto también resulta clave para medir el impacto reputacional del hecho. En el sector de puentes blockchain, la confianza de usuarios, validadores y proveedores de liquidez puede deteriorarse de forma acelerada cuando un protocolo sufre una falla estructural, sobre todo si la plataforma se presentaba como especialmente segura frente a ataques conocidos.

El contexto de un año crítico para DeFi

El exploit de Verus no ocurrió en aislamiento. El episodio se suma a un 2026 especialmente duro para la seguridad del sector DeFi. La cobertura citada señala que solo en abril de 2026 se perdieron más de USD $625 millones en casi 30 exploits distintos, una cifra que habría convertido a ese mes en el peor de la historia de las criptomonedas en materia de hackeos.

Entre los incidentes más importantes del año figuran dos casos mencionados junto al ataque de Verus. Drift Protocol habría perdido cerca de USD $285 millones en un ataque de ingeniería social vinculado al grupo Lazarus de Corea del Norte. Por su parte, Kelp DAO sufrió un drenaje aproximado de USD $292 millones mediante un exploit de validación de puente que involucró suplantación de mensajes cross-chain.

Con esos antecedentes, las pérdidas acumuladas de DeFi en 2026 ya superan USD $750 millones. Los puentes representan una porción importante del daño, lo que refuerza la idea de que los atacantes están desplazando su atención desde errores evidentes en contratos inteligentes hacia capas más complejas de infraestructura, mensajería y validación entre cadenas.

El patrón preocupa porque estas debilidades suelen ser más difíciles de detectar en auditorías convencionales. Mientras un bug clásico puede encontrarse revisando funciones o permisos, las fallas de validación económica exigen análisis de diseño sistémico. En otras palabras, no basta con que una prueba criptográfica sea correcta si el modelo que decide cuándo liberar fondos sigue permitiendo desequilibrios entre cadenas.

Lo que deja el caso Verus para la industria

El caso de Verus ofrece una lección incómoda para el ecosistema blockchain. La seguridad de un puente no depende solo de la robustez matemática de sus verificaciones, sino de que todo el circuito de emisión, bloqueo, prueba y liberación preserve una equivalencia económica real. Cuando esa relación se rompe, incluso un sistema bien defendido en lo técnico puede abrir la puerta a pérdidas millonarias.

También deja en evidencia el peso que tiene la respuesta temprana del protocolo. En ataques de este tipo, la rapidez para cerrar la vulnerabilidad, publicar información verificable y diseñar un plan de compensación puede marcar la diferencia entre una crisis contenida y un deterioro mayor de la confianza de mercado.

Por ahora, el episodio sigue bajo observación porque los fondos no se han movido y persisten dudas sobre si la brecha ha sido sellada del todo. Mientras tanto, el sector suma otro recordatorio de que la palabra “trustless” no debe interpretarse como sinónimo de invulnerable. En el actual entorno de DeFi, los puentes continúan siendo uno de los objetivos más críticos y más costosos para toda la industria.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA