2026El año en brechas

Un atacante vació 1.404 carteras de Qubic con semillas predecibles y robó unos 2,94 billones de QU (~1,4 millones de dólares) antes del paro de la cadena.

Un atacante acuñó 10 millones de CYS sin respaldo en BNB Chain mediante el puente de Cysic y los vendió por unos 727.000 dólares en ETH antes del bloqueo.

Un fallo de validación en la actualización Ironwood de Pirate Chain permitió a un atacante acuñar unos 39,8 millones de ARRR —cerca del 20 % del suministro— y ocultarlos en el pool blindado.

Un fallo contable en los contratos compartidos Vesting V2 de UNCX Network permitió a un atacante y a imitadores drenar unos 1,49 millones de dólares en tokens bloqueados a través de cuatro cadenas.

Una intrusión en un servidor vació las billeteras calientes del casino cripto Gamdom en varias cadenas por unos 4,2 millones de dólares en un presunto compromiso de claves.

Un atacante acuñó 19 millones de THEO sin respaldo en Base a través de la ruta cross-chain Hyperlane de Autheo y los cambió por unos 700 ETH, derrumbando el token alrededor de un 92 %.

Un operador manipuló el precio de referencia de ETH en Hyperliquid y obtuvo unos 1,28 millones de dólares del fondo común de USDC de Papertrade el día del lanzamiento.

A los usuarios que compraron dispositivos Ledger al revendedor CryptoBilis les vaciaron unos 86 millones de dólares, en un presunto ataque a la cadena de suministro que capturó sus frases semilla.

Un keeper ETH-A inactivo de MakerDAO perdió 200 WETH (unos $538.000): un atacante explotó una función de retiro sin control de acceso para drenar garantías varadas desde el Black Thursday de 2020.

Un atacante incluyó un contrato en la lista blanca de un vault no identificado de Base y pidió prestado contra su posición Aave V3, drenando unos 1.783 wstETH (6 M USD).

Un fallo contable en el unlock compartido del hook Uniswap v4 de GoldPesa dejó a un atacante compensar una deuda fantasma en USDC contra el retiro de rebalanceo y drenar unos 114.900 USD en Base.

Un fallo de autenticación en el módulo Safe de terceros FlashLoopAdapter permitió a un atacante falsificar una Safe y drenar unos 305.000 dólares de dos billeteras de Ethereum.

Un atacante abusó de un fallo en el sistema de depósitos y retiros entre cadenas Omni de NEAR Intents para drenar unos 3,8 millones de dólares en USDT de una hot wallet en BNB Chain.

Los estafadores levantaron una red Layer 2 GIWA falsa con el chain ID real y drenaron unos 2 millones de dólares en ETH de 1.335 carteras a través de un puente falso.

Los atacantes comprometieron el backend de las wallets de Bitget para falsificar retiros y drenar unos 387,5 millones de dólares en ocho blockchains, el mayor robo cripto de 2026.

Los atacantes drenaron unos 7 millones de dólares de las hot wallets del casino cripto Duelbits en cinco cadenas, en un supuesto compromiso de clave privada que forzó a la plataforma a desconectarse.

Los atacantes abusaron de un fallo en el Payment Processor de Limit Break, con aprobaciones caducadas de Magic Eden, para robar tokens y NFT por al menos 2,8 millones de dólares en cinco cadenas.

Un atacante explotó el contrato rollup de Payy Network en Ethereum con una transacción verifyRollup maliciosa, drenando unos 1,83 millones de dólares en USDC.

Un atacante abusó de un fallo de validación de bloques en Meter para acuñar MTRG envueltos sin respaldo vía Meter Passport y vender unos 2,3 millones de dólares en PancakeSwap.

Un atacante compró poder de voto barato para aprobar una propuesta de gobernanza maliciosa en Neutron y drenó unos 9,4 millones de dólares de diez contratos de Astroport y Drop.

Una clave de firma del puente comprometida permitió vaciar FET y acuñar AGIX, NTX y WMTx en los contratos de Ethereum de la ASI Alliance — unos 16,77 millones de dólares en tokens.

Un atacante infló NSTR unas 8.000x con wash trading y pidió unos 3,5 millones de dólares contra la garantía inflada en Nostra, en Starknet.

Los atacantes usaron frases de recuperación comprometidas para vaciar unos 11,7 millones de XRP — cerca de 18 millones de dólares — de más de 6.600 cuentas de la App Wallet de D'CENT en cinco cadenas.

Un atacante abusó de la vía de liquidación en Tron de Chainflip, añadiendo un memo a un depósito ya firmado para desencadenar pagos duplicados y drenar 736.442 USDT.

Un atacante explotó el contrato BridgeV2 de Symbiosis para acuñar unos 46.100 millones de tokens de Bitcoin sintético sin respaldo y monetizó una parte por unos 0,77 millones de dólares.

Un atacante abusó de un fallo de doble gasto en el puente de Bitcoin de Nomic para acuñar unos 39,84 nBTC sin respaldo, dejando cerca del 36 % del Bitcoin aleado de Osmosis sin reservas.

Un atacante explotó un fallo de caché de range-proof en el software Elements de Liquid para acuñar unos 4.000 L-BTC sin respaldo y canjearlos por unos 319 millones de dólares en bitcoin real.

Un atacante usó una función de registro de activos sin permisos y un flash loan de Balancer para contar dos veces la garantía del RedSonic Vault de Reddio y drenar 9,25 ETH (unos 23.000 dólares).

Una conversión de entero sin verificar en el contrato V1 Escrow obsoleto de Notional Finance permitió a un atacante drenar unos 1,7 millones de dólares en USDC y DAI en Ethereum.

Una falla en la app XRPH Wallet de XRP Healthcare expuso las frases semilla de los usuarios; un atacante vació 4.011 monederos por unos 452.000 dólares en XRP y XRPH en el XRP Ledger.

Un atacante abusó de los mercados de opciones binarias sin permiso de Injective y de una colisión de ID de mercado para sustraer unos 4,9 millones de USD antes de la detención de la cadena.

Un atacante infló 100 veces el token TONIC de Tectonic para tomar unos 74 millones de USD del protocolo de préstamos de Cronos; una reversión de la cadena limitó la pérdida a cerca de 6 millones.

Un atacante infló el precio del token ilíquido MAMO para tomar prestados activos reales de los mercados de préstamos de Moonwell en Base, sustrayendo unos 8,7 millones de USD.

Un atacante gastó unos 951 dólares por una participación de control del token de gobernanza poco negociado de Term Labs y votó la salida de unos 8,5 millones de dólares de sus vaults.

Un atacante alimentó al router de Allbridge en Base con un mensaje CCTP de Circle falsificado y, con un flash loan de Aave, sustrajo unos 190.000 dólares en USDC.

Un atacante encadenó seis bugs en la lógica de MAYAChain para fabricar un subsidio de CACAO y sustraer unos 1,7 millones de dólares en Bitcoin y otros activos de Maya Protocol.

Un atacante explotó un fallo en la producción de bloques de Harmony para acuñar ~4.000 millones de ONE no autorizados (~3,2 M USD), volcados en los exchanges.

Una ballena cripto anónima perdió unos 25,6 millones de dólares en un drenaje por phishing en Ethereum: la misma cartera que ya había sido víctima de phishing por cerca de 24 millones en 2023.

Los atacantes drenaron unos $7,9M en USDT y ETH del procesador de pagos cripto Coinsbuy a través de Tron y Ethereum en un compromiso coordinado de claves de hot wallet.

Un flag del firmware de Coldcard de 2021 desactivó el RNG por hardware y volvió forzables las semillas sin conexión. Los atacantes drenaron ~1.816 BTC (~116 M$).

Poco más de dos meses después de un hackeo en mayo, el puente Verus-Ethereum fue drenado de nuevo por ~$7,54M a través del mismo camino de verificación de importación sin parchear.

Los atacantes manipularon mediante ingeniería social a un desarrollador de AFX Trade, tomaron 5 de 7 claves de validadores del puente y drenaron $24,15M en USDC.

Un atacante tomó la autoridad de actualización del contrato de staking de B² Network en BNB Chain y drenó 8,591M de tokens B2 (~$3,86M), intercambiados por ~1.128 ETH.

Un flash loan sesgó el ratio del pool de stablecoins de Allbridge Core en Solana, permitiendo al atacante retirar liquidez a tasas manipuladas por unos 1,65 millones de dólares.

La bridge Across Protocol fue atacada en Solana; fondos de los usuarios a salvo según el equipo, solo fondos operativos de Risk Labs posiblemente afectados y sin cifra de pérdida.

Un atacante drenó unos 1,34 millones de dólares en USDC del vault CLS de Cascade, un protocolo de perpetuos respaldado por Polychain en Arbitrum.

Un atacante drenó unos 580.000 dólares en USDC de los pools de préstamo de DeFiTuna en Solana, aprovechando su lógica de préstamo y dejando el pool de USDC en déficit.

Un atacante se apoderó del feed de precios de Ostium y entregó precios de oráculo predatados para drenar unos 23,75 millones de dólares confirmados del vault OLP en Arbitrum.

Un atacante manipuló el precio del token SAUCE mediante un oráculo externo de Supra defectuoso y drenó unos 9 millones de dólares de Bonzo Lend, el mayor protocolo de préstamos de Hedera.

Coinspect reveló 'Ill Bloom', un fallo de aleatoriedad débil en la generación de frases de recuperación de algunas carteras que permitió robar más de 5 millones de dólares.

Un atacante gastó unos $4M comprando BONK en silencio para capturar el voto de BonkDAO, y luego impulsó una propuesta maliciosa en Realms que drenó unos $20M de la tesorería.

Un atacante con préstamo flash manipuló la contabilidad de participaciones del vault de USDC Lazy Summer de Summer.fi, canjeando activos inflados para drenar unos 6 millones de dólares en Ethereum.

Un atacante drenó 820.000 dólares en USDC del protocolo Hinkal —casi todo su TVL multicadena— mediante depósitos 'proofless' no verificados, y luego lo lavó vía Tornado Cash y THORChain.

Un atacante con un flash loan infló ~78x el tipo de cambio interno de wGOOGLx en Edel Finance y pidió prestado contra colateral ficticio, dejando unos 403.000 dólares de deuda incobrable.

Un proveedor externo comprometido inyectó un script malicioso en el frontend de Polymarket, drenando unos 2,94 M$ en PUSD de las wallets de los usuarios mediante phishing.

Un fallo de aleatoriedad predecible en el software de generación de wallets de SecondFi en Cardano permitió robar unos 2,4 M USD en ADA de 178 wallets, con hasta 20 M USD más en riesgo.

Una clave de firma SGX filtrada en el GitHub público de Taiko permitió falsificar pruebas del bridge y drenar unos $1,7M del L1 Bridge y el ERC20Vault en Ethereum.

Un fallo de quema deflacionaria en el token OLPC creó un desajuste de reservas en un pool de PancakeSwap V2, permitiendo a un atacante comprar LABUBU a un precio distorsionado y drenar unos $1,1M.

Un honeypot counter-MEV engañó al bot de sandwich más activo de Ethereum, jaredfromsubway.eth, para que aprobara 66 contratos de tokens falsos, drenando unos $7,5M en WETH, USDC y USDT.

Un atacante acuñó un token EVIL sin valor para distorsionar la contabilidad de los pools de liquidez concentrada de mySwap en Starknet y drenó unos $305K de fondos LP residuales.

Un fallo en la lógica de transferencias IBC permitió extraer unos 600.000 dólares en activos blindados del MASP de Namada, enmascarado por un indexador obsoleto.

Un transferFrom de valor cero eludió el allowance y desató un minteo de recompensa no autorizado al par de PancakeSwap, drenando unos $378.000 de Little Boy Plus.

Un atacante drenó unos $2,16M del obsoleto Private Rollup Bridge de Aztec mediante un escapeHatch sin protección y datos de prueba falsificados — segundo hackeo de Aztec en una semana.

Un return ausente en la función _transfer del token DIP permitió a un atacante desincronizar sus reservas de PancakeSwap con skim/sync y drenar unos $111.000 en USDC.

Un fallo de redondeo en un vault obsoleto de Thetanuts permitió acuñar tokens de opción gratis y drenar unos $2,1M en Ethereum; los white-hats recuperaron cerca de $2M.

Un atacante drenó unos $2,1M del puente obsoleto Aztec Connect explotando una validación de pruebas incompleta y retirando saldos sin respaldo de contratos inmutables.

Un atacante drenó unos $1,34M de cinco pools inactivos de AMM V3 de Raydium en Solana acuñando un token LP falso que eludió los controles de retiro del programa obsoleto.

Un contrato de puente defectuoso permitió forjar paquetes IBC y acuñar saTokens sin respaldo, drenando unos 4,67 millones de dólares en activos de Axelar.

Una clave comprometida de la Humanity Foundation permitió vaciar wallets y acuñar 100M de tokens H en BNB Chain, sustrayendo unos $32M y hundiendo $H casi un 90%.

Un atacante con la mayoría de TOP ejecutó una propuesta de Aragon en una sola transacción, acuñó ~10 000 millones de tokens y drenó 944 WETH de un pool de Balancer V1.

Un fallo en la validación de pruebas del puente cross-chain de Syscoin permitió acuñar unos 5.000 millones de SYS — más de cinco veces el suministro — por casi $10M.

Un fallo en la verificación de firmas del Zodiac Delay Module permitió eludir el retardo de Gnosis Pay y drenar unos 1,5 millones de dólares de 5.281 Safes; Gnosis reembolsó el 100 %.

Un atacante con control de los derechos de acuñación creó 99 millones de tokens TSR en BNB Chain y los liquidó por unos 2,5 millones de dólares, hundiendo el token casi un 99%.

Un atacante drenó unos 480.000 USD del vault afiUSD de AFI Protocol en Ethereum, cambiando DAI por ETH y enviando unos 150 ETH a través de Tornado Cash; la causa raíz no se reveló de inmediato.

Un atacante envió VAAs de guardián falsificadas al TokenBridge de Alephium (un fork de Wormhole) y drenó unos 815.000 dólares en activos en custodia de Ethereum y BNB Chain en unos siete minutos.

Gravity Bridge, el puente cross-chain Cosmos-Ethereum, fue drenado de unos 5,4 millones de dólares tras la aparente compromisión de las claves de firma de sus validadores.

Un atacante que controlaba un antiguo bloqueador de liquidez de DxSale en BNB Chain drenó unos 7,3 M$ en BNB de más de 1.400 pools bloqueados, con sospechas de participación interna.

Un fallo de control de acceso (confused deputy) en el módulo de terceros SquidRouterModule permitió drenar unos 3,8 millones de dólares de 88 billeteras Gnosis Safe en Ethereum, Base y Arbitrum.

Compromiso de clave admin en Echo Protocol minteó 1.000 eBTC sin respaldo (~$76,7M nominales); pérdida real ~$821K vía Tornado Cash tras pausa rápida.

El puente Verus-Ethereum pagó $11,58M tras un export Verus de solo 0,02 VRSC — sin validación de vinculación de valor origen/destino.

~$10,8M drenados de las bóvedas Asgard de THORChain en 9 cadenas por una falla del esquema GG20 (TSS) explotada por un operador de nodo malicioso.

El agregador cross-chain Transit Finance perdió ~$1,88M en DAI el 13 de mayo de 2026 — un segundo incidente multimillonario tras la brecha de aprobación de proxy de octubre de 2022.

Las bóvedas perp de Wasabi en Ethereum, Base, Berachain y Blast perdieron $5M cuando un EOA desplegador con ADMIN_ROLE único permitió upgrades UUPS.

Las bóvedas Sui de Volo perdieron $3,5M tras ingeniería social que comprometió la clave admin. El equipo congeló $500K y bloqueó un puente WBTC de $2,1M.

292 M$ en rsETH sin respaldo acuñados tras explotar la configuración 1-de-1 de LayerZero DVN de KelpDAO; el mayor hackeo DeFi de 2026, TVL cayó 13 B$ después.

Rhea Finance en NEAR perdió $18,4 M tras una preparación de dos días con tokens falsos, 423 billeteras y 8 pools Ref que explotaron suma de slippage.

1.000 M de DOT bridgeados acuñados en Hyperbridge tras una verificación ausente en VerifyProof que dejó forjar pruebas MMR; pérdida realizada ~2,5 M$.

Ingeniería social de la RPDC engañó al Security Council de Drift para firmar txs con nonces duraderos que cedieron el control admin, drenando 285 M$ en Solana.

Resolv Labs perdió $25 M tras comprometerse sus claves AWS KMS; un depósito de $100K USDC minteó 50M USR y despegó la stablecoin un 74% en 17 minutos.

La bóveda BRO de Solv perdió $2,73M cuando un bug ERC-3525 de doble acuñación convirtió 135 BRO en ~567M BRO, intercambiados luego por 38 SolvBTC.

Un usuario de Venus Protocol fue phishieado para delegar el control de cuenta, perdiendo ~$3,7M de su posición. Los contratos de Venus no fueron tocados.

4,3 M$ drenados del puente ioTube de IoTeX por un compromiso de clave de validador; también acuñó 111 M CIOTX y 9,3 M CCS. IoTeX prometió compensación total.

~$1,78 M drenados de Moonwell en Base tras un mercado recién listado usar un feed con desajuste de decimales, tasando mal el colateral.

El pool de préstamos Stellar de YieldBlox perdió $10,2M cuando una sola venta USTRY-USDC a 501x definió el oráculo Reflector en una ventana de 15 min.

Step Finance perdió 261.854 SOL ($27M) de billeteras de tesorería y comisiones ante un actor 'sofisticado'. STEP cayó 96%; Step, SolanaFloor y Remora cerraron.

$4,13 M extraídos del pool DUSD/USDC de Makina vía manipulación de MachineShareOracle con préstamo flash; white-hat recuperó 89% en una semana.

SagaEVM perdió $7M en 11 minutos cuando un bug de Ethermint permitió mensajes elaborados que minteaban Saga Dollar sin colateral y lo puenteaban a ETH.

TMXTribe, un protocolo de staking/recompensas, perdió ~$1,4M cuando un fallo contable de distribución permitió al atacante reclamar repetidamente en exceso.

Truebit perdió $26,4M cuando un desbordamiento entero en la curva de bonding de TRU de cinco años permitió acuñar TRU casi gratis y venderlo por 8.500 ETH.