Compromiso de claves de firma de Gravity Bridge

El 30 de mayo de 2026, Gravity Bridge, el puente cross-chain basado en Cosmos que conecta Cosmos con Ethereum, fue drenado de aproximadamente 5,4 millones de dólares después de que los atacantes aparentemente comprometieran las claves de firma de los validadores que autorizan las transferencias. Con suficientes firmas válidas en su poder, el atacante ejecutó una serie de retiros forjados que el puente trató como legítimos.

Qué ocurrió

Gravity Bridge bloquea tokens en Ethereum y acuña representaciones espejo en Cosmos, donde las firmas de los validadores autorizan cada transferencia cross-chain. Según investigadores de seguridad como PeckShield, las claves de firma del puente aparentemente fueron comprometidas, permitiendo al atacante autorizar retiros directamente. Los fondos robados se reportaron como aproximadamente 4,3 millones de USDC, 274 wrapped ether (~553.000 USD), unos 434.000 USDT y 14,16 PAXG (~64.000 USD). El atacante comenzó a blanquear una parte a través de ChangeNow y Binance mientras seguía conservando un saldo elevado en ETH.

Consecuencias

Gravity Bridge reconoció el incidente y detuvo el puente mientras investigaba. Al momento de la información, los fondos seguían sin recuperarse, con investigadores rastreando las billeteras del atacante on-chain.

Por qué importa

El drenaje de Gravity Bridge es otra entrada en el tema dominante de 2026: los puentes y la custodia mediante conjuntos de validadores son la superficie de ataque de mayor valor en cripto. Como en ioTube de IoTeX y el puente Verus-Ethereum, la falla no fue un ingenioso error de contrato sino la custodia de claves — una vez que un atacante controla suficientes claves de firma, la lógica de verificación de firmas de un puente valida fielmente retiros fraudulentos. Refuerza la lección de los compromisos de claves de validador y de administrador en el catálogo (Wasabi Protocol, Hyperbridge): la infraestructura cross-chain es solo tan segura como las claves detrás de su multisig, y los umbrales de firma ofrecen poca protección una vez que los propios firmantes son vulnerados.