Exploit de retiros sin comisión en el puente de WAX

El 22 de octubre de 2026, el puente multicadena de WAX fue explotado por aproximadamente 90.500 $. Una comprobación de comisión ausente en la función eth.token::withdraw del puente permitió a un atacante retirar tokens mapeados del lado de WAX sin entregar el respaldo que la contabilidad esperaba, mientras los contratos del puente en Solana y Ethereum liberaban igualmente los activos correspondientes.

Qué ocurrió

WAX (Worldwide Asset eXchange) opera un puente multicadena que emite representaciones "mapeadas" de activos custodiados en otras redes. La firma de monitoreo Blockaid señaló un exploit activo el 22 de octubre de 2026: el atacante creó una cuenta nueva en WAX y, aproximadamente una hora después, comenzó a invocar la vía de retiro del puente. Como la función eth.token::withdraw no aplicaba la comisión de retiro, la operación se ejecutó gratis — el atacante extrajo tokens mapeados del lado de WAX sin pagar los activos que la contabilidad asumía, mientras los contratos del puente en Solana y Ethereum seguían liberando los tokens correspondientes.

A lo largo de cinco transacciones, el atacante extrajo alrededor de 52.986 USDC, 21.558 USDT, 840 DAI, 2,55 WETH y 0,11 WBTC. Los primeros recuentos cifraron el botín en cerca de 75.000 $; una contabilidad actualizada que valoró los tramos de WETH y WBTC elevó la estimación a unos 90.500 $.

Consecuencias

Blockaid y SlowMist dieron a conocer el incidente mientras aún se desarrollaba. Al momento de redactar esto, WAX no había publicado un análisis post mortem formal ni revelado esfuerzos de recuperación, y en la cobertura pública no se había confirmado identidad del atacante, etiqueta de billetera ni dirección on-chain. Los investigadores advirtieron que el alcance completo — y si las pérdidas seguían creciendo — aún estaba por verificar. La cifra en dólares es pequeña para los estándares del catálogo, pero el mecanismo es la parte peligrosa: una sola vía de comisión desprotegida desincronizó la contabilidad de dos lados del puente.

Por qué importa

Un puente solo es tan seguro como la invariante de que los activos liberados en una cadena están plenamente respaldados por activos bloqueados o debitados en la otra. El exploit de WAX es un caso de manual de desincronización contable: el lado de liberación siguió pagando aunque el lado de origen no fue cargado como suponía el diseño. Rima con el TokenBridge de Alephium, donde aprobaciones falsificadas desbloquearon reservas de custodia, y con los drenajes repetidos del puente Verus-Ethereum, que abusaron de una vía de importación/verificación sin control — y, a una escala mucho mayor, con Ronin, cuyo puente liberó fondos sobre una invariante de peso de voto que había quedado en silencio en cero. En cada caso la pérdida no vino de una criptografía rota, sino de una comprobación ausente en el código que debe mantener honestas ambas mitades del libro mayor. Los puentes pequeños con custodia real entre cadenas siguen siendo un blanco fácil recurrente precisamente porque estos fallos en vías de comisión y de validación son fáciles de pasar por alto y de monetizar de inmediato.