Autheo THEO: acuñación cross-chain sin respaldo

El 12 de octubre de 2026, Autheo, el proyecto detrás del token de utilidad THEO, sufrió un presunto exploit de puente en Base que permitió a un atacante acuñar tokens sin respaldo y venderlos por aproximadamente 1,76 millones de dólares en ETH, hundiendo a THEO alrededor de un 92 % en un día.

Qué ocurrió

THEO se emite en Base como un token cross-chain HypERC20, lo que significa que su oferta en Base debería estar respaldada uno a uno por tokens bloqueados en la cadena de origen y liberada solo cuando llega un mensaje cross-chain validado. Según el monitor on-chain Defimon Alerts, el atacante realizó en cambio una «acuñación cross-chain sin respaldo»: BaseScan registró la acuñación de 19 millones de THEO a la 1:06 p. m. ET mediante una llamada a la función process del buzón cross-chain del token, sin ningún bloqueo correspondiente en la cadena de origen.

Defimon identificó el módulo de seguridad de la ruta como TrustedRelayerIsm, una configuración que acepta un mensaje como válido cuando lo aprueba un único relayer de confianza en lugar de un quórum de validadores. Los informes indican que el atacante pudo introducir el mensaje de acuñación por esa vía de confianza de un solo relayer, aunque Autheo no ha confirmado cómo se autorizó exactamente la acuñación. El atacante volcó entonces la oferta recién acuñada en el poco profundo pool Hydrex Integral THEO/USDC en Base —unos 9,5 millones de THEO se vendieron en una sola transacción por cerca de 189 ETH— y, según PeckShield, las ganancias por un total de unos 700,8 ETH (~1,76 millones de dólares) se transfirieron de Base a la red principal de Ethereum. THEO cayó de unos 0,08 dólares a cerca de 0,006 dólares, un descenso de aproximadamente el 92,4 %.

Consecuencias

Autheo reconoció el incidente el mismo día y pidió a los tenedores: «No compren, vendan ni transfieran THEO» hasta que se emita una señal oficial de todo despejado, advirtiendo contra enlaces sospechosos, ofertas de recuperación no solicitadas y el compartir frases semilla. El exchange MEXC detuvo las transferencias de THEO el 13 de octubre mientras continuaban las investigaciones. Al momento de escribir esto no se habían recuperado fondos, no se había identificado a ningún atacante y las cifras seguían siendo estimaciones on-chain provisionales; un investigador afirmó una acuñación mucho mayor, de unos 119 millones de THEO, pero la cifra de 19 millones es la que comparten la mayoría de las fuentes.

Por qué importa

El incidente es un fracaso de manual de un diseño cross-chain de relayer único de confianza: cuando un puente acuña oferta envuelta bajo la palabra de un solo aprobador, comprometer o abusar de esa única vía produce tokens sin nada que los respalde. Recuerda al puente de Qubit Finance, donde una brecha en la validación de depósitos permitió acuñar garantías sin respaldo, y al exploit de Wormhole, donde eludir la verificación de firmas acuñó 120.000 wETH sin respaldo. La debilidad de la raíz de confianza también evoca a Nomad, cuya verificación de mensajes defectuosa convertía cualquier llamada copiada en un retiro válido. Como en la acuñación de Gala Games, el daño no llegó por depósitos robados sino por una oferta falsificada vendida a una liquidez escasa antes de que el mercado pudiera reaccionar.