Ataques de Fallo de smart contract en 2026

Un fallo contable en los contratos compartidos Vesting V2 de UNCX Network permitió a un atacante y a imitadores drenar unos 1,49 millones de dólares en tokens bloqueados a través de cuatro cadenas.

Un keeper ETH-A inactivo de MakerDAO perdió 200 WETH (unos $538.000): un atacante explotó una función de retiro sin control de acceso para drenar garantías varadas desde el Black Thursday de 2020.

Un fallo contable en el unlock compartido del hook Uniswap v4 de GoldPesa dejó a un atacante compensar una deuda fantasma en USDC contra el retiro de rebalanceo y drenar unos 114.900 USD en Base.

Un fallo de autenticación en el módulo Safe de terceros FlashLoopAdapter permitió a un atacante falsificar una Safe y drenar unos 305.000 dólares de dos billeteras de Ethereum.

Los atacantes abusaron de un fallo en el Payment Processor de Limit Break, con aprobaciones caducadas de Magic Eden, para robar tokens y NFT por al menos 2,8 millones de dólares en cinco cadenas.

Una conversión de entero sin verificar en el contrato V1 Escrow obsoleto de Notional Finance permitió a un atacante drenar unos 1,7 millones de dólares en USDC y DAI en Ethereum.

Un atacante abusó de los mercados de opciones binarias sin permiso de Injective y de una colisión de ID de mercado para sustraer unos 4,9 millones de USD antes de la detención de la cadena.

Un atacante drenó unos 1,34 millones de dólares en USDC del vault CLS de Cascade, un protocolo de perpetuos respaldado por Polychain en Arbitrum.

Un atacante drenó unos 580.000 dólares en USDC de los pools de préstamo de DeFiTuna en Solana, aprovechando su lógica de préstamo y dejando el pool de USDC en déficit.

Un atacante drenó 820.000 dólares en USDC del protocolo Hinkal —casi todo su TVL multicadena— mediante depósitos 'proofless' no verificados, y luego lo lavó vía Tornado Cash y THORChain.

Un fallo de quema deflacionaria en el token OLPC creó un desajuste de reservas en un pool de PancakeSwap V2, permitiendo a un atacante comprar LABUBU a un precio distorsionado y drenar unos $1,1M.

Un atacante acuñó un token EVIL sin valor para distorsionar la contabilidad de los pools de liquidez concentrada de mySwap en Starknet y drenó unos $305K de fondos LP residuales.

Un fallo en la lógica de transferencias IBC permitió extraer unos 600.000 dólares en activos blindados del MASP de Namada, enmascarado por un indexador obsoleto.

Un transferFrom de valor cero eludió el allowance y desató un minteo de recompensa no autorizado al par de PancakeSwap, drenando unos $378.000 de Little Boy Plus.

Un atacante drenó unos $2,16M del obsoleto Private Rollup Bridge de Aztec mediante un escapeHatch sin protección y datos de prueba falsificados — segundo hackeo de Aztec en una semana.

Un return ausente en la función _transfer del token DIP permitió a un atacante desincronizar sus reservas de PancakeSwap con skim/sync y drenar unos $111.000 en USDC.

Un fallo de redondeo en un vault obsoleto de Thetanuts permitió acuñar tokens de opción gratis y drenar unos $2,1M en Ethereum; los white-hats recuperaron cerca de $2M.

Un atacante drenó unos $2,1M del puente obsoleto Aztec Connect explotando una validación de pruebas incompleta y retirando saldos sin respaldo de contratos inmutables.

Un atacante drenó unos $1,34M de cinco pools inactivos de AMM V3 de Raydium en Solana acuñando un token LP falso que eludió los controles de retiro del programa obsoleto.

Un fallo en la verificación de firmas del Zodiac Delay Module permitió eludir el retardo de Gnosis Pay y drenar unos 1,5 millones de dólares de 5.281 Safes; Gnosis reembolsó el 100 %.

Un fallo de control de acceso (confused deputy) en el módulo de terceros SquidRouterModule permitió drenar unos 3,8 millones de dólares de 88 billeteras Gnosis Safe en Ethereum, Base y Arbitrum.

El agregador cross-chain Transit Finance perdió ~$1,88M en DAI el 13 de mayo de 2026 — un segundo incidente multimillonario tras la brecha de aprobación de proxy de octubre de 2022.

Rhea Finance en NEAR perdió $18,4 M tras una preparación de dos días con tokens falsos, 423 billeteras y 8 pools Ref que explotaron suma de slippage.

La bóveda BRO de Solv perdió $2,73M cuando un bug ERC-3525 de doble acuñación convirtió 135 BRO en ~567M BRO, intercambiados luego por 38 SolvBTC.

SagaEVM perdió $7M en 11 minutos cuando un bug de Ethermint permitió mensajes elaborados que minteaban Saga Dollar sin colateral y lo puenteaban a ETH.

TMXTribe, un protocolo de staking/recompensas, perdió ~$1,4M cuando un fallo contable de distribución permitió al atacante reclamar repetidamente en exceso.

Truebit perdió $26,4M cuando un desbordamiento entero en la curva de bonding de TRU de cinco años permitió acuñar TRU casi gratis y venderlo por 8.500 ETH.