Bitcoin — hackeos y exploits

Una intrusión en un servidor vació las billeteras calientes del casino cripto Gamdom en varias cadenas por unos 4,2 millones de dólares en un presunto compromiso de claves.

A los usuarios que compraron dispositivos Ledger al revendedor CryptoBilis les vaciaron unos 86 millones de dólares, en un presunto ataque a la cadena de suministro que capturó sus frases semilla.

Los atacantes comprometieron el backend de las wallets de Bitget para falsificar retiros y drenar unos 387,5 millones de dólares en ocho blockchains, el mayor robo cripto de 2026.

Los atacantes drenaron unos 7 millones de dólares de las hot wallets del casino cripto Duelbits en cinco cadenas, en un supuesto compromiso de clave privada que forzó a la plataforma a desconectarse.

Los atacantes usaron frases de recuperación comprometidas para vaciar unos 11,7 millones de XRP — cerca de 18 millones de dólares — de más de 6.600 cuentas de la App Wallet de D'CENT en cinco cadenas.

Un atacante abusó de un fallo de doble gasto en el puente de Bitcoin de Nomic para acuñar unos 39,84 nBTC sin respaldo, dejando cerca del 36 % del Bitcoin aleado de Osmosis sin reservas.

Un atacante explotó un fallo de caché de range-proof en el software Elements de Liquid para acuñar unos 4.000 L-BTC sin respaldo y canjearlos por unos 319 millones de dólares en bitcoin real.

Un atacante encadenó seis bugs en la lógica de MAYAChain para fabricar un subsidio de CACAO y sustraer unos 1,7 millones de dólares en Bitcoin y otros activos de Maya Protocol.

Un flag del firmware de Coldcard de 2021 desactivó el RNG por hardware y volvió forzables las semillas sin conexión. Los atacantes drenaron ~1.816 BTC (~116 M$).

Coinspect reveló 'Ill Bloom', un fallo de aleatoriedad débil en la generación de frases de recuperación de algunas carteras que permitió robar más de 5 millones de dólares.

~$10,8M drenados de las bóvedas Asgard de THORChain en 9 cadenas por una falla del esquema GG20 (TSS) explotada por un operador de nodo malicioso.

La bóveda BRO de Solv perdió $2,73M cuando un bug ERC-3525 de doble acuñación convirtió 135 BRO en ~567M BRO, intercambiados luego por 38 SolvBTC.

SBI Crypto, el brazo minero de SBI Holdings, perdió $24M en BTC, ETH, LTC, DOGE y BCH. Sin detectar 7 días hasta que ZachXBT señaló patrón Lazarus.

Odin.fun, launchpad de memecoins en Bitcoin, perdió ~$7 M cuando los atacantes manipularon la contabilidad de la curva de bonding para drenar pools BTC.

Atacantes comprometieron el backend de BigONE y reescribieron la lógica de riesgo para auto-aprobar retiradas, drenando $27M sin exponer claves.

Más de $90 M drenados del mayor exchange de Irán por Predatory Sparrow, luego quemados a direcciones con mensajes anti-IRGC — destrucción, no lucro.

Un fallo en el self-listing drenó $8,37M (hasta $16,2M con tokens ALEX) de ALEX Protocol en Stacks: segundo gran incidente en 13 meses.

~$73 M drenados de hot wallets de Phemex en 16 cadenas en un barrido coordinado — el primer gran hackeo de exchange de 2025, con TTPs consistentes con Lazarus.

$13,7 M drenados de hot wallets de M2 Exchange en BTC, ETH y Solana; identificados, contenidos y fondos de clientes restaurados en solo 16 minutos.

~$55M drenados de las hot wallets de BtcTurk; Binance congeló ~$5,3M en tránsito — el mayor compromiso de un exchange turco hasta la fecha.

$22 M (158 BTC, 2.161 ETH, más LTC/BCH) drenados de Lykke en un compromiso de claves que el exchange británico ocultó; atribuido a Lazarus.

Operativos de la RPDC comprometieron a un dev del proveedor Ginco vía oferta falsa en LinkedIn, drenando 4.502,9 BTC (305 M$) del exchange DMM Bitcoin.

Lazarus de la RPDC drenó $4,3M del puente cross-chain de ALEX Lab en Stacks mediante un fallo en la lógica de verificación, rastreado vía blanqueo on-chain.

$114 M+ barridos de hot wallets de Ethereum y Tron de Poloniex tras extraer claves privadas de sistemas internos; Justin Sun prometió reembolso total.

$200 M drenados de hot wallets de Mixin Network tras comprometer al proveedor de nube que alojaba su base de datos centralizada — alarma de infraestructura.

Lazarus drenó $54M de hot wallets de CoinEx en Ethereum, Tron, BSC y otras 7 cadenas, reutilizando infraestructura del golpe a Stake.com previo.

Un compromiso de claves drenó $60M de las hot wallets de AlphaPo en Tron, Bitcoin y Ethereum. El FBI atribuyó la brecha a Lazarus.

Una operación de Lazarus apuntó al software de Atomic Wallet, no a semillas individuales, drenando $100M+ de ~5.500 usuarios y rompiendo la auto-custodia.

Una brecha de backups cifrados de LastPass llevó a un drenaje multianual a víctimas que guardaban seed phrases; las pérdidas pasaron de 35 M$ a más de 400 M$.

Un atacante drenó 28 M$ de las hot wallets BTC/ETH/USDC de Deribit; el mayor exchange de opciones lo cubrió con su balance, sin tocar el cold storage.

Un exploit de bypass del 2FA drenó $34M de 483 cuentas de Crypto.com; los atacantes autorizaron transacciones sin que el 2FA se solicitara al usuario.

~97 M$ drenados de las wallets calientes de Liquid Global (Japón) en ETH, XRP, BTC y stablecoins; FTX dio un préstamo de 120 M$ y luego la adquirió.

$13M+ drenados de THORChain en dos ataques con una semana de diferencia, ambos explotando fallos de depósito falso en el puente Bifrost durante Chaosnet.

281 M$ drenados de hot wallets de KuCoin en BTC, ETH y ERC-20: el tercer mayor hackeo de exchange, operación de Lazarus; ~84% recuperado después.

El mayor exchange cripto de Canadá colapsó cuando su CEO 'murió' en India con acceso exclusivo a ~$190 M en fondos; los reguladores lo llamaron Ponzi.

Hackers robaron 119.754 BTC ($71M, $9B+ al recuperarse) de las hot wallets multifirma de Bitfinex, recuperados 6 años después vía DOJ.

El mayor exchange de Bitcoin de su época detuvo retiros y se declaró en bancarrota, con 850.000 BTC desaparecidos — la mayoría robados años antes.