Exploit de pruebas falsificadas del bridge de Taiko

El 22 de junio de 2026, Taiko —un Layer-2 de Ethereum del tipo "based rollup"— sufrió el drenaje de su bridge por aproximadamente 1,7 millones de dólares después de que un atacante explotara una clave de firma filtrada para falsificar pruebas de retirada. Los fondos se extrajeron de los contratos L1 Bridge y ERC20Vault de Taiko desplegados en la red principal de Ethereum, y el equipo detuvo la producción de bloques mientras investigaba.

Qué ocurrió

La firma de seguridad Blockaid detectó el exploit en tiempo real, mientras que BlockSec (a través de su monitorización Phalcon) rastreó la causa raíz hasta un error operativo: una clave de firma privada Intel SGX RSA-3072 del stack de pruebas Raiko de Taiko había sido subida en texto plano como enclave-key.pem al repositorio público de GitHub taikoxyz/raiko. Con esa clave, el atacante pudo registrar instancias de prover SGX fraudulentas y generar atestaciones de estado L2 falsas que los contratos de verificación de Taiko aceptaron como genuinas. En dos fases, el atacante presentó una señal de origen falsificada para registrar un mensaje de bridge falso y desencadenar la liberación de activos basados en Ethereum desde el ERC20Vault —sin ningún evento legítimo correspondiente en la cadena de origen de Taiko—. Es el mismo modo de fallo que en Nomad, donde se dieron por válidos mensajes fraudulentos, y recuerda al compromiso de claves de confianza en el núcleo de Ronin.

Consecuencias

Los proposers de Taiko detuvieron la producción de nuevos bloques, y el equipo instó a los usuarios a retirar fondos de los bridges afectados de inmediato. Blockaid publicó el contrato víctima, la wallet del atacante y las transacciones del exploit; los rastreadores on-chain informaron de que unos 2 millones de TAIKO del botín se enviaron al exchange MEXC, lo que motivó solicitudes para suspender depósitos. El token TAIKO cayó entre un 10 % y un 20 % tras la noticia. Taiko dijo que estaba preparando un análisis post-mortem detallado y coordinándose con socios, incluidas posibles acciones legales. Hasta la fecha del informe, no se había recuperado ningún fondo.

Por qué importa

El incidente de Taiko es un caso de manual sobre la higiene de secretos como verdadera superficie de ataque de un bridge: la criptografía era sólida, pero una única clave privada subida a un repositorio público derrumbó todo el modelo de confianza tras el sistema de pruebas del rollup. Se suma a una creciente serie de fallos de bridges en 2026 —Verus, Syscoin— y subraya que los bridges de verificación de pruebas son tan honestos como las claves que firman sus atestaciones. Cuando un atacante puede acuñar una prueba "válida" a voluntad, la bóveda no tiene forma de distinguir una retirada real de una falsificada.