Exploit de repetición de depósito en el puente Ethereum de Ankr

El 9 de noviembre de 2026, el puente Ethereum de Ankr fue drenado de unos 303.600 dólares cuando un atacante repitió un diminuto depósito de Optimism ya canjeado para autorizar cinco retiros fraudulentos.

Qué ocurrió

El puente de Ankr permite a los usuarios mover activos de staking líquido de una cadena y retirarlos en otra. El exploit abusó del tratamiento que el puente daba a los depósitos ya canjeados: los cinco retiros fraudulentos hacían referencia a un único depósito de Optimism del 3 de noviembre que solo había movido 0,0044024803 ankrETH a Ethereum —una cantidad ya retirada en Ethereum ese mismo día—. El atacante reenvió ese depósito gastado, cada vez con información de recibo modificada, y el puente no rechazó el recibo reutilizado, sino que autorizó cinco retiros desmesurados a una sola billetera entre aproximadamente las 08:09 y las 08:12 UTC. Los activos drenados fueron 82,91 ankrETH (~216.370 $), 515.206 ankrPOL (~56.372 $) y unos 7,98 millones de ANKR (~30.857 $), además de aMATICb y aETHb sin valorar. La firma de seguridad Blockaid señaló el exploit en curso hacia las 08:42 UTC, estimando inicialmente unos 292.000 $ en las cinco transacciones; valorar los tres tokens con precio situó la cifra cerca de 303.600 $. La cobertura difirió sobre la causa raíz: algunos medios citaron una clave de administrador comprometida y otros el fallo de verificación de repetición de depósitos.

Consecuencias

Ankr no emitió de inmediato una declaración pública, y el indicador de pausa on-chain del puente seguía mostrando false mucho después del drenaje, dejando poco claro si se habían contenido más retiros. En el momento de la publicación no se recuperaron fondos. El incidente se sumó a un largo historial de problemas de la infraestructura de Ankr, que ya había sido golpeada en 2022 cuando un error de acuñación infinita destruyó su token de staking líquido aBNBc en BNB Chain.

Por qué importa

Ankr es un clásico fallo de verificación de repetición de un puente —la misma clase de error que permite a los atacantes reutilizar mensajes o pruebas para reclamar un valor que nunca puentearon—. Nomad Bridge cayó en 2022 cuando una inicialización defectuosa hizo repetible cada mensaje, y los puentes siguen fallando allí donde un recibo de depósito no está estrictamente vinculado a un único retiro no canjeable de nuevo. Que un depósito minúsculo de 0,0044 ankrETH pudiera estirarse hasta un drenaje de seis cifras subraya lo poco que necesita un atacante cuando un puente no marca un depósito como gastado. Incluso pérdidas inferiores a 1 millón de dólares merman la confianza en los puentes de staking líquido, donde los fondos de los usuarios dependen por completo de la contabilidad que vincula un depósito en una cadena con exactamente un retiro en otra.