Manipulación de pools con flash loan en Allbridge Core

El 20 de julio de 2026, Allbridge, la empresa detrás del puente de stablecoins entre cadenas Allbridge Core, pausó su protocolo después de que un atacante drenara unos 1,65 millones de dólares de su despliegue en Solana mediante una técnica de manipulación de pools con flash loan que ya había perjudicado antes al proyecto.

Qué ocurrió

Allbridge Core permite a los usuarios intercambiar y puentear stablecoins depositando en pools de liquidez que contienen pares como USDC y USDT, y valora las retiradas de liquidez según el ratio entre los dos activos de un pool. El atacante tomó un flash loan de unos 1,12 millones de USDC del protocolo de préstamos de Solana Kamino y luego ejecutó una serie de rápidos swaps USDC/USDT a través de los pools de Allbridge que sesgaron deliberadamente el ratio entre las dos stablecoins. Como las retiradas se valoraban contra ese ratio distorsionado, el desequilibrio permitió al atacante extraer liquidez a tasas manipuladas, devolver el préstamo de 1,12 millones y quedarse con la diferencia —unos 1,65 millones de dólares, aunque algunos rastreadores sitúan la cifra más cerca de los 2 millones. La firma de seguridad PeckShield señaló el incidente y advirtió que los fondos robados fueron puenteados de Solana a Ethereum, convertidos en ETH y en parte enviados a pools de privacidad para dificultar el rastreo.

Consecuencias

Allbridge pausó el protocolo como precaución mientras investigaba y pidió a los proveedores de liquidez de los pools afectados que retiraran sus fondos. Al momento de la publicación, los activos robados no habían sido recuperados. El ataque fue la segunda manipulación de pools con flash loan de Allbridge: en abril de 2023, un atacante explotó un pool de Allbridge en BNB Chain con el mismo tipo de técnica, con pérdidas de unos 570.000 dólares. Un protocolo drenado mediante manipulación de pools con flash loan en 2023 volvió a serlo mediante manipulación de pools con flash loan en 2026.

Por qué importa

Allbridge Core es un recordatorio contundente de que valorar las retiradas según un ratio de pool vivo y manipulable es peligroso cuando un atacante puede alquilar millones de capital para un solo bloque. El mismo patrón de manipulación de AMM de stablecoins derribó a Platypus Finance, y la técnica se asemeja a la manipulación de vaults con flash loan que drenó a Summer.fi ese mismo mes. Que Allbridge lanzara una corrección en 2023 y aun así cayera ante la misma primitiva tres años después subraya con qué facilidad los mercados de liquidez entre cadenas reintroducen el riesgo de manipulación de pools. Para un puente —una clase de activos ya marcada por incidentes como Ronin— cada pool cuyo precio puede moverse con dinero prestado es una invitación permanente.