Hackeos en Ethereum en 2026

Un atacante acuñó 10 millones de CYS sin respaldo en BNB Chain mediante el puente de Cysic y los vendió por unos 727.000 dólares en ETH antes del bloqueo.

Un fallo contable en los contratos compartidos Vesting V2 de UNCX Network permitió a un atacante y a imitadores drenar unos 1,49 millones de dólares en tokens bloqueados a través de cuatro cadenas.

Una intrusión en un servidor vació las billeteras calientes del casino cripto Gamdom en varias cadenas por unos 4,2 millones de dólares en un presunto compromiso de claves.

Un atacante acuñó 19 millones de THEO sin respaldo en Base a través de la ruta cross-chain Hyperlane de Autheo y los cambió por unos 700 ETH, derrumbando el token alrededor de un 92 %.

A los usuarios que compraron dispositivos Ledger al revendedor CryptoBilis les vaciaron unos 86 millones de dólares, en un presunto ataque a la cadena de suministro que capturó sus frases semilla.

Un keeper ETH-A inactivo de MakerDAO perdió 200 WETH (unos $538.000): un atacante explotó una función de retiro sin control de acceso para drenar garantías varadas desde el Black Thursday de 2020.

Un fallo de autenticación en el módulo Safe de terceros FlashLoopAdapter permitió a un atacante falsificar una Safe y drenar unos 305.000 dólares de dos billeteras de Ethereum.

Los estafadores levantaron una red Layer 2 GIWA falsa con el chain ID real y drenaron unos 2 millones de dólares en ETH de 1.335 carteras a través de un puente falso.

Los atacantes comprometieron el backend de las wallets de Bitget para falsificar retiros y drenar unos 387,5 millones de dólares en ocho blockchains, el mayor robo cripto de 2026.

Los atacantes drenaron unos 7 millones de dólares de las hot wallets del casino cripto Duelbits en cinco cadenas, en un supuesto compromiso de clave privada que forzó a la plataforma a desconectarse.

Los atacantes abusaron de un fallo en el Payment Processor de Limit Break, con aprobaciones caducadas de Magic Eden, para robar tokens y NFT por al menos 2,8 millones de dólares en cinco cadenas.

Un atacante explotó el contrato rollup de Payy Network en Ethereum con una transacción verifyRollup maliciosa, drenando unos 1,83 millones de dólares en USDC.

Una clave de firma del puente comprometida permitió vaciar FET y acuñar AGIX, NTX y WMTx en los contratos de Ethereum de la ASI Alliance — unos 16,77 millones de dólares en tokens.

Los atacantes usaron frases de recuperación comprometidas para vaciar unos 11,7 millones de XRP — cerca de 18 millones de dólares — de más de 6.600 cuentas de la App Wallet de D'CENT en cinco cadenas.

Un atacante explotó el contrato BridgeV2 de Symbiosis para acuñar unos 46.100 millones de tokens de Bitcoin sintético sin respaldo y monetizó una parte por unos 0,77 millones de dólares.

Un atacante usó una función de registro de activos sin permisos y un flash loan de Balancer para contar dos veces la garantía del RedSonic Vault de Reddio y drenar 9,25 ETH (unos 23.000 dólares).

Una conversión de entero sin verificar en el contrato V1 Escrow obsoleto de Notional Finance permitió a un atacante drenar unos 1,7 millones de dólares en USDC y DAI en Ethereum.

Una falla en la app XRPH Wallet de XRP Healthcare expuso las frases semilla de los usuarios; un atacante vació 4.011 monederos por unos 452.000 dólares en XRP y XRPH en el XRP Ledger.

Un atacante abusó de los mercados de opciones binarias sin permiso de Injective y de una colisión de ID de mercado para sustraer unos 4,9 millones de USD antes de la detención de la cadena.

Un atacante infló 100 veces el token TONIC de Tectonic para tomar unos 74 millones de USD del protocolo de préstamos de Cronos; una reversión de la cadena limitó la pérdida a cerca de 6 millones.

Un atacante gastó unos 951 dólares por una participación de control del token de gobernanza poco negociado de Term Labs y votó la salida de unos 8,5 millones de dólares de sus vaults.

Un atacante encadenó seis bugs en la lógica de MAYAChain para fabricar un subsidio de CACAO y sustraer unos 1,7 millones de dólares en Bitcoin y otros activos de Maya Protocol.

Una ballena cripto anónima perdió unos 25,6 millones de dólares en un drenaje por phishing en Ethereum: la misma cartera que ya había sido víctima de phishing por cerca de 24 millones en 2023.

Los atacantes drenaron unos $7,9M en USDT y ETH del procesador de pagos cripto Coinsbuy a través de Tron y Ethereum en un compromiso coordinado de claves de hot wallet.

Poco más de dos meses después de un hackeo en mayo, el puente Verus-Ethereum fue drenado de nuevo por ~$7,54M a través del mismo camino de verificación de importación sin parchear.

Los atacantes manipularon mediante ingeniería social a un desarrollador de AFX Trade, tomaron 5 de 7 claves de validadores del puente y drenaron $24,15M en USDC.

Un flash loan sesgó el ratio del pool de stablecoins de Allbridge Core en Solana, permitiendo al atacante retirar liquidez a tasas manipuladas por unos 1,65 millones de dólares.

Un atacante manipuló el precio del token SAUCE mediante un oráculo externo de Supra defectuoso y drenó unos 9 millones de dólares de Bonzo Lend, el mayor protocolo de préstamos de Hedera.

Coinspect reveló 'Ill Bloom', un fallo de aleatoriedad débil en la generación de frases de recuperación de algunas carteras que permitió robar más de 5 millones de dólares.

Un atacante con préstamo flash manipuló la contabilidad de participaciones del vault de USDC Lazy Summer de Summer.fi, canjeando activos inflados para drenar unos 6 millones de dólares en Ethereum.

Un atacante drenó 820.000 dólares en USDC del protocolo Hinkal —casi todo su TVL multicadena— mediante depósitos 'proofless' no verificados, y luego lo lavó vía Tornado Cash y THORChain.

Un atacante con un flash loan infló ~78x el tipo de cambio interno de wGOOGLx en Edel Finance y pidió prestado contra colateral ficticio, dejando unos 403.000 dólares de deuda incobrable.

Un proveedor externo comprometido inyectó un script malicioso en el frontend de Polymarket, drenando unos 2,94 M$ en PUSD de las wallets de los usuarios mediante phishing.

Una clave de firma SGX filtrada en el GitHub público de Taiko permitió falsificar pruebas del bridge y drenar unos $1,7M del L1 Bridge y el ERC20Vault en Ethereum.

Un honeypot counter-MEV engañó al bot de sandwich más activo de Ethereum, jaredfromsubway.eth, para que aprobara 66 contratos de tokens falsos, drenando unos $7,5M en WETH, USDC y USDT.

Un atacante drenó unos $2,16M del obsoleto Private Rollup Bridge de Aztec mediante un escapeHatch sin protección y datos de prueba falsificados — segundo hackeo de Aztec en una semana.

Un fallo de redondeo en un vault obsoleto de Thetanuts permitió acuñar tokens de opción gratis y drenar unos $2,1M en Ethereum; los white-hats recuperaron cerca de $2M.

Un atacante drenó unos $2,1M del puente obsoleto Aztec Connect explotando una validación de pruebas incompleta y retirando saldos sin respaldo de contratos inmutables.

Un contrato de puente defectuoso permitió forjar paquetes IBC y acuñar saTokens sin respaldo, drenando unos 4,67 millones de dólares en activos de Axelar.

Una clave comprometida de la Humanity Foundation permitió vaciar wallets y acuñar 100M de tokens H en BNB Chain, sustrayendo unos $32M y hundiendo $H casi un 90%.

Un atacante con la mayoría de TOP ejecutó una propuesta de Aragon en una sola transacción, acuñó ~10 000 millones de tokens y drenó 944 WETH de un pool de Balancer V1.

Un atacante drenó unos 480.000 USD del vault afiUSD de AFI Protocol en Ethereum, cambiando DAI por ETH y enviando unos 150 ETH a través de Tornado Cash; la causa raíz no se reveló de inmediato.

Un atacante envió VAAs de guardián falsificadas al TokenBridge de Alephium (un fork de Wormhole) y drenó unos 815.000 dólares en activos en custodia de Ethereum y BNB Chain en unos siete minutos.

Gravity Bridge, el puente cross-chain Cosmos-Ethereum, fue drenado de unos 5,4 millones de dólares tras la aparente compromisión de las claves de firma de sus validadores.

Un fallo de control de acceso (confused deputy) en el módulo de terceros SquidRouterModule permitió drenar unos 3,8 millones de dólares de 88 billeteras Gnosis Safe en Ethereum, Base y Arbitrum.

Compromiso de clave admin en Echo Protocol minteó 1.000 eBTC sin respaldo (~$76,7M nominales); pérdida real ~$821K vía Tornado Cash tras pausa rápida.

El puente Verus-Ethereum pagó $11,58M tras un export Verus de solo 0,02 VRSC — sin validación de vinculación de valor origen/destino.

~$10,8M drenados de las bóvedas Asgard de THORChain en 9 cadenas por una falla del esquema GG20 (TSS) explotada por un operador de nodo malicioso.

El agregador cross-chain Transit Finance perdió ~$1,88M en DAI el 13 de mayo de 2026 — un segundo incidente multimillonario tras la brecha de aprobación de proxy de octubre de 2022.

Las bóvedas perp de Wasabi en Ethereum, Base, Berachain y Blast perdieron $5M cuando un EOA desplegador con ADMIN_ROLE único permitió upgrades UUPS.

292 M$ en rsETH sin respaldo acuñados tras explotar la configuración 1-de-1 de LayerZero DVN de KelpDAO; el mayor hackeo DeFi de 2026, TVL cayó 13 B$ después.

1.000 M de DOT bridgeados acuñados en Hyperbridge tras una verificación ausente en VerifyProof que dejó forjar pruebas MMR; pérdida realizada ~2,5 M$.

Resolv Labs perdió $25 M tras comprometerse sus claves AWS KMS; un depósito de $100K USDC minteó 50M USR y despegó la stablecoin un 74% en 17 minutos.

La bóveda BRO de Solv perdió $2,73M cuando un bug ERC-3525 de doble acuñación convirtió 135 BRO en ~567M BRO, intercambiados luego por 38 SolvBTC.

4,3 M$ drenados del puente ioTube de IoTeX por un compromiso de clave de validador; también acuñó 111 M CIOTX y 9,3 M CCS. IoTeX prometió compensación total.

$4,13 M extraídos del pool DUSD/USDC de Makina vía manipulación de MachineShareOracle con préstamo flash; white-hat recuperó 89% en una semana.

SagaEVM perdió $7M en 11 minutos cuando un bug de Ethermint permitió mensajes elaborados que minteaban Saga Dollar sin colateral y lo puenteaban a ETH.

Truebit perdió $26,4M cuando un desbordamiento entero en la curva de bonding de TRU de cinco años permitió acuñar TRU casi gratis y venderlo por 8.500 ETH.