Exploit de puente

Un atacante acuñó 10 millones de CYS sin respaldo en BNB Chain mediante el puente de Cysic y los vendió por unos 727.000 dólares en ETH antes del bloqueo.

Un atacante acuñó 19 millones de THEO sin respaldo en Base a través de la ruta cross-chain Hyperlane de Autheo y los cambió por unos 700 ETH, derrumbando el token alrededor de un 92 %.

Un atacante abusó de un fallo en el sistema de depósitos y retiros entre cadenas Omni de NEAR Intents para drenar unos 3,8 millones de dólares en USDT de una hot wallet en BNB Chain.

Un atacante explotó el contrato rollup de Payy Network en Ethereum con una transacción verifyRollup maliciosa, drenando unos 1,83 millones de dólares en USDC.

Un atacante abusó de un fallo de validación de bloques en Meter para acuñar MTRG envueltos sin respaldo vía Meter Passport y vender unos 2,3 millones de dólares en PancakeSwap.

Una clave de firma del puente comprometida permitió vaciar FET y acuñar AGIX, NTX y WMTx en los contratos de Ethereum de la ASI Alliance — unos 16,77 millones de dólares en tokens.

Un atacante abusó de la vía de liquidación en Tron de Chainflip, añadiendo un memo a un depósito ya firmado para desencadenar pagos duplicados y drenar 736.442 USDT.

Un atacante explotó el contrato BridgeV2 de Symbiosis para acuñar unos 46.100 millones de tokens de Bitcoin sintético sin respaldo y monetizó una parte por unos 0,77 millones de dólares.

Un atacante abusó de un fallo de doble gasto en el puente de Bitcoin de Nomic para acuñar unos 39,84 nBTC sin respaldo, dejando cerca del 36 % del Bitcoin aleado de Osmosis sin reservas.

Un atacante explotó un fallo de caché de range-proof en el software Elements de Liquid para acuñar unos 4.000 L-BTC sin respaldo y canjearlos por unos 319 millones de dólares en bitcoin real.

Un atacante alimentó al router de Allbridge en Base con un mensaje CCTP de Circle falsificado y, con un flash loan de Aave, sustrajo unos 190.000 dólares en USDC.

Poco más de dos meses después de un hackeo en mayo, el puente Verus-Ethereum fue drenado de nuevo por ~$7,54M a través del mismo camino de verificación de importación sin parchear.

La bridge Across Protocol fue atacada en Solana; fondos de los usuarios a salvo según el equipo, solo fondos operativos de Risk Labs posiblemente afectados y sin cifra de pérdida.

Una clave de firma SGX filtrada en el GitHub público de Taiko permitió falsificar pruebas del bridge y drenar unos $1,7M del L1 Bridge y el ERC20Vault en Ethereum.

Un contrato de puente defectuoso permitió forjar paquetes IBC y acuñar saTokens sin respaldo, drenando unos 4,67 millones de dólares en activos de Axelar.

Un fallo en la validación de pruebas del puente cross-chain de Syscoin permitió acuñar unos 5.000 millones de SYS — más de cinco veces el suministro — por casi $10M.

Un atacante envió VAAs de guardián falsificadas al TokenBridge de Alephium (un fork de Wormhole) y drenó unos 815.000 dólares en activos en custodia de Ethereum y BNB Chain en unos siete minutos.

Gravity Bridge, el puente cross-chain Cosmos-Ethereum, fue drenado de unos 5,4 millones de dólares tras la aparente compromisión de las claves de firma de sus validadores.

El puente Verus-Ethereum pagó $11,58M tras un export Verus de solo 0,02 VRSC — sin validación de vinculación de valor origen/destino.

292 M$ en rsETH sin respaldo acuñados tras explotar la configuración 1-de-1 de LayerZero DVN de KelpDAO; el mayor hackeo DeFi de 2026, TVL cayó 13 B$ después.

1.000 M de DOT bridgeados acuñados en Hyperbridge tras una verificación ausente en VerifyProof que dejó forjar pruebas MMR; pérdida realizada ~2,5 M$.

4,3 M$ drenados del puente ioTube de IoTeX por un compromiso de clave de validador; también acuñó 111 M CIOTX y 9,3 M CCS. IoTeX prometió compensación total.

GriffinAI, proyecto cripto de agentes IA, perdió ~3 M$ porque un fallo de bridge/mint dejó acuñar tokens GAIN sin respaldo y volcarlos, colapsando el precio.

Un fallo de control de acceso drenó 3,76 M$ del Force Bridge de Nervos en Ethereum y BNB Chain; el botín se cambió a ETH y se lavó por Tornado y FixedFloat.

Un bot MEV white-hat drenó $12 M del puente de Ronin vía falla de init en código muerto que dejó minimumVoteWeight en cero. Fondos devueltos por $500K.

Lazarus de la RPDC drenó $4,3M del puente cross-chain de ALEX Lab en Stacks mediante un fallo en la lógica de verificación, rastreado vía blanqueo on-chain.

~$82 M drenados del puente cross-chain de Orbit Chain en Nochevieja después de comprometerse siete de diez firmantes multi-sig; pérdidas en Ethereum y Klaytn.

~220K$ drenados de HYPR Network tras un fallo de bridge/contrato que dejó al atacante extraer liquidez bridgeada: un fallo de puente pequeño pero limpio.

~$2,6M de ETH atascados o en riesgo en el puente Shibarium al lanzamiento tras un contrato mal configurado y sobrecarga de tráfico que dejó fondos inaccesibles.

Una verificación de prueba Merkle defectuosa en el puente nativo de BSC permitió forjar retiradas por 2M BNB antes de que los validadores pausaran la cadena.

Una actualización rutinaria marcó el hash cero como raíz válida, convirtiendo cada mensaje de Nomad en un retiro que cualquiera podía copiar y pegar.

Lazarus comprometió 2 de 5 claves multi-firma del puente cross-chain de Harmony y drenó 100 M$; el quorum 2-de-5 estaba por debajo de su perfil de riesgo.

El puente Meter Passport perdió $4,4 M cuando su manejador de depósitos aceptó un monto de token wrapped sin respaldo, minteando BNB/ETH puenteados.

Un bypass de verificación de firmas en el lado Solana de Wormhole permitió al atacante acuñar 120.000 wETH de la nada — sin colateral en Ethereum.

Un atacante engañó al puente BSC de Qubit para mintear 77.162 qXETH ($185 M nominales) sin depositar ETH, pidiendo prestados 206.809 BNB ($80 M).

$13M+ drenados de THORChain en dos ataques con una semana de diferencia, ambos explotando fallos de depósito falso en el puente Bifrost durante Chaosnet.

Una vulnerabilidad en el puente Ethereum-BSC de ChainSwap permitió acuñar arbitrariamente 20+ tokens; $4M drenados, tokens cayeron 95%+.

Un atacante detectó un k repetido en dos firmas de BSC, recalculó la clave privada MPC de Anyswap V3 y drenó $7,9M de sus pools del router cross-chain.