Exploit de validación de pruebas del puente de Syscoin

El 8 de junio de 2026, el puente cross-chain de Syscoin fue explotado a través de un fallo en la validación de pruebas que permitió a un atacante acuñar unos 5.000 millones de SYS no autorizados —más de cinco veces el suministro circulante del token— por un valor de casi 10 millones de dólares en ese momento. El equipo pausó el puente en cuestión de horas y pidió a los exchanges y socios congelar los fondos contaminados.

Qué ocurrió

Syscoin opera un puente que mueve su SYS nativo entre la cadena UTXO del proyecto y su capa NEVM compatible con EVM. El puente se apoya en pruebas criptográficas para confirmar que un burn o un depósito en un lado ocurrió realmente antes de liberar o acuñar los tokens correspondientes en el otro.

El atacante explotó un error en la lógica de validación de pruebas del puente: la ruta de relay aceptó como legítima una prueba de transacción falsificada o malformada, instruyendo al puente a acuñar tokens que nunca estuvieron respaldados por un depósito real. Observadores on-chain vieron aparecer unos 5.000.000.000 SYS que se agruparon en una sola dirección UTXO, antes de dividirse en dos salidas contaminadas de aproximadamente 4.000 millones y 1.000 millones de SYS. Dado que el suministro circulante previo al ataque era de solo unos 890 millones de SYS, la acuñación no autorizada infló el suministro más de cinco veces de un solo golpe.

Consecuencias

• Syscoin pausó todos los servicios de bridging poco después de detectar las salidas no autorizadas, y dijo que las operaciones seguirían detenidas mientras trabaja para neutralizar el suministro ilegítimo.
• El equipo contactó a exchanges, proveedores de infraestructura y socios del ecosistema, pidiéndoles incluir en listas negras, congelar o vigilar de cerca cualquier depósito de SYS conectado al rastro UTXO contaminado.
• SYS cayó con fuerza con la noticia —cerca de un 20% intradía según algunos informes— a medida que el mercado descontaba el riesgo de dilución.
• La firma de seguridad Halborn publicó un análisis que atribuyó el incidente a la validación de pruebas defectuosa del puente.

Por qué importa

El exploit de Syscoin es un fallo de manual de falsificación de pruebas de puente, la misma clase de bug detrás del hackeo del puente de BNB Chain, donde una prueba de Merkle falsificada permitió a un atacante fabricar retiros por cientos de millones de la nada. La seguridad de un puente se reduce en última instancia a una sola pregunta: ¿se le puede engañar para que crea que un depósito ocurrió cuando no fue así? Cuando el código de verificación de pruebas responde "sí", el atacante no necesita robar colateral existente —puede imprimir nuevo suministro o desbloquear valor sin respaldo directamente, la misma dinámica que drenó el puente Verus–Ethereum a principios de 2026.

Los exploits de acuñación no autorizada son especialmente corrosivos para tokens de infraestructura de baja capitalización: imprimir 5.000 millones de tokens contra un suministro circulante de 890 millones no es el robo de una cantidad fija en dólares, sino una dilución abierta de cada holder, y el daño persiste hasta que el protocolo pueda demostrar de forma creíble que el suministro malicioso ha sido contenido. La dependencia de Syscoin de la cooperación de los exchanges para congelar el rastro contaminado subraya lo poco que puede hacer un proyecto on-chain una vez que una prueba falsificada ya se ha ejecutado.