Hyperbridge puente entre cadenas atacado: 1,000 millones de DOT acuñados de la nada, el atacante solo obtuvo 230,000 dólares

El 13 de abril de 2026, la agencia de seguridad blockchain CertiK detectó que el contrato del puente de cadena cruzada Hyperbridge sufrió un ataque con vulnerabilidad. Los atacantes falsificaron mensajes de cadena cruzada para manipular los permisos de administrador del contrato de tokens puente en Ethereum para Polkadot (DOT), acuñaron ilegalmente 1,000 millones de DOT puente y los vendieron en su totalidad, obteniendo finalmente unas ganancias de aproximadamente 108.2 ETH, equivalentes a unos 237,000 dólares. Este “gran robo” con un valor nominal superior a mil millones de dólares se desvaneció por falta de liquidez, pero reavivó el foco en la vulnerabilidad de seguridad a largo plazo de los puentes de cadena cruzada.

Cómo se activó la vulnerabilidad de repetición de prueba MMR

¿Cuál es la raíz técnica del ataque? BlockSec Phalcon calificó esta vulnerabilidad como una vulnerabilidad de repetición de prueba MMR (Merkle Mountain Range). En el contrato HandlerV1 de Hyperbridge, el mecanismo de protección contra repetición solo verifica si el hash de la solicitud comprometida ya ha sido utilizado, pero el proceso de verificación de la prueba no vincula la carga útil de la solicitud enviada con la prueba verificada.

Esta desconexión lógica permite que los atacantes vuelvan a reproducir una prueba válida que ya fue aceptada por el sistema en el pasado, emparejándola con una nueva solicitud maliciosa construida a propósito, y mediante la ruta TokenGateway.onAccept() ejecutar la operación ChangeAssetAdmin, transfiriendo los permisos de administrador y acuñación del contrato de DOT en Ethereum a una dirección controlada por ellos. La actualización posterior publicada por Hyperbridge confirma además que la vulnerabilidad se debe a que la función VerifyProof() carece de una validación de entrada para leaf_index < leafCount, permitiendo a los atacantes falsificar pruebas Merkle. Esencialmente, esto es una vulnerabilidad clásica de “repetición de ataque + escalada de privilegios” — los atacantes no descifraron primitivas criptográficas, sino que aprovecharon la desconexión en la lógica de verificación entre módulos.

¿Por qué solo 237,000 dólares de los 1,000 millones de DOT?

El dato más irónico de este ataque es la gran diferencia entre los 1,000 millones de tokens y los 237,000 dólares. Según datos de Lookonchain, el DOT puente en Ethereum se vendió a un precio de aproximadamente 1.22 dólares antes del ataque, con un potencial de arbitraje máximo teórico superior a 1,2 mil millones de dólares.

Sin embargo, la liquidez en cadena del DOT puente en Ethereum era extremadamente limitada. Los atacantes usaron los pools de liquidez Odos Router y Uniswap V4 para vender en masa los 1,000 millones de tokens, haciendo que el precio cayera rápidamente desde 1.22 dólares casi a cero. La cantidad acuñada equivalía a unas 35,6 mil unidades en circulación reportadas en ese momento, multiplicadas por aproximadamente 2,805 veces. La enorme oferta impactó en los pools de liquidez ya escasos, causando una caída de precio severa que convirtió la mayoría de los tokens en papel sin valor. Los atacantes pudieron crear tokens, pero no crear compradores ni liquidez.

La frontera entre activos puente y activos nativos: ¿dónde está la línea de seguridad?

Un hecho clave que debe aclararse es que el objetivo del ataque fue el contrato de tokens DOT puente desplegado en Ethereum, no la cadena principal nativa de Polkadot. La autoridad oficial de Polkadot afirmó claramente que la vulnerabilidad solo afecta a los DOT en Ethereum a través de Hyperbridge, y que los DOT nativos y otros activos en el ecosistema Polkadot no fueron afectados directamente. Hyperbridge es un proyecto de puente de cadena cruzada desarrollado por Polytope Labs, no una infraestructura central construida y mantenida por Polkadot.

Esta distinción revela la paradoja central de la seguridad en los puentes de cadena cruzada: los contratos inteligentes que gestionan activos puente en la cadena de destino se despliegan de forma independiente, y sus auditorías y mecanismos de monitoreo pueden diferir de los de la cadena nativa. Los atacantes no necesitan tocar la capa de consenso de la cadena principal, sino que pueden causar daños masivos en la cadena de destino explotando una sola vulnerabilidad en el contrato puente. Los usuarios que poseen activos puente asumen riesgos no solo por la seguridad de la cadena subyacente, sino también por la seguridad del propio contrato del puente.

¿Qué tendencias muestran los ataques a puentes en 2026?

El ataque a Hyperbridge no fue un caso aislado de 2026. Según datos del sector, en el primer trimestre de 2026, las pérdidas totales por ataques en DeFi alcanzaron aproximadamente 168 millones de dólares. Aunque esto representa una disminución significativa respecto a los aproximadamente 1,58 mil millones en el mismo período de 2025, los riesgos estructurales persisten. En febrero de 2026, el puente CrossCurve sufrió una pérdida de unos 3 millones de dólares por una vulnerabilidad en su contrato inteligente; en el mismo mes, el puente ioTube perdió más de 4.4 millones de dólares debido a la filtración de la clave privada del propietario del contrato de validadores en Ethereum. Los puentes de cadena cruzada representaron más del 60% de los incidentes de seguridad importantes en DeFi en la historia, siendo uno de los objetivos más valiosos para los hackers.

El informe de seguridad de Cross-Chain publicado a principios de 2026 por Sherlock señala que los ataques en cadena cruzada siguen un patrón predecible: las hipótesis de confianza están codificadas como garantías deterministas, fallan en la autenticación en los límites de los mensajes, y el sistema otorga todos los permisos mediante una única ruta de ejecución. El incidente de Hyperbridge encaja perfectamente en esta descripción: el contrato asumió que la verificación de la prueba MMR y la vinculación con la solicitud eran seguras, pero la lógica del código tenía una desconexión que hizo que esa suposición fallara completamente.

¿Es la baja liquidez una “protección” o un riesgo mayor?

En este ataque, la baja liquidez actuó objetivamente como un “escudo protector”, limitando las ganancias reales de los atacantes a unos 237,000 dólares. Si la misma vulnerabilidad ocurriera en activos puente con mayor liquidez o valor, las pérdidas podrían escalar exponencialmente. Esta contradicción — pérdidas limitadas pero riesgos muy altos — es precisamente uno de los problemas más complejos en seguridad de cadenas cruzadas: el sector tiende a ser complaciente ante pérdidas puntuales limitadas, subestimando la amenaza estructural de las vulnerabilidades.

Por otro lado, la escasa liquidez en los activos puente también revela una vulnerabilidad en la salud del mercado. La cantidad en circulación de DOT puente en Ethereum es solo de unas 35,6 mil unidades, y los pools de liquidez son muy superficiales, lo que significa que incluso sin ataques, grandes transacciones generan un impacto severo en el precio, afectando la eficiencia del uso del activo. La baja liquidez “salvó” a Polkadot en esta ocasión, pero expuso la fragilidad profunda de la capa de interoperabilidad: los activos puente carecen de suficiente profundidad de mercado y de redundancia de seguridad.

¿Cuál es la contradicción central en la seguridad de los puentes cruzados?

El núcleo del dilema en la seguridad de los puentes de cadena cruzada es la contradicción fundamental de la “transferencia de confianza”. Un puente de cadena cruzada es esencialmente un “adaptador de seguridad” — traduce la finalización, membresía y autorización de una cadena en instrucciones confiables en el entorno de ejecución de otra cadena. En este proceso de traducción, cualquier desconexión lógica puede ser aprovechada por atacantes.

Los desafíos del sector son multifacéticos: por un lado, el código de los puentes de cadena cruzada es mucho más complejo que los contratos en una sola cadena, involucrando oráculos, relés y validadores; por otro, muchos proyectos priorizan “lanzar rápidamente” en lugar de “entender completamente el sistema”, sembrando riesgos de seguridad. Además, las verificaciones formales y métodos matemáticos comprobables aún no son estándar en la industria, y la cobertura y frecuencia de auditorías de terceros varían mucho.

¿Hacia dónde debe dirigirse la seguridad en los puentes cruzados?

De los eventos de 2026, se pueden extraer varias direcciones claras. Primero, los mecanismos de verificación deben implementar un vínculo completo entre “solicitud y prueba”, eliminando desconexiones lógicas. Segundo, los protocolos de cadena cruzada deben basarse en principios de minimización de permisos y mecanismos de validación múltiple como línea base de diseño, no como parche posterior. Tercero, la industria necesita construir modelos de confianza más transparentes: los usuarios deben entender claramente las hipótesis de seguridad y los límites de riesgo al usar puentes cruzados. Finalmente, las auditorías de seguridad deben evolucionar hacia la verificación formal y monitoreo continuo, pasando de una revisión puntual a una protección en todo el ciclo de vida.

Los puentes de cadena cruzada son infraestructuras clave que conectan múltiples ecosistemas, y mejorar su seguridad determinará directamente el futuro de la interoperabilidad en Web3. El valor del incidente Hyperbridge no radica en las pérdidas de 237,000 dólares, sino en cómo revela de manera casi absurda una verdad ineludible en la seguridad de cadenas cruzadas: la magnitud del daño no depende tanto de la ambición del atacante, sino de cuánto respeto tiene el diseño del sistema por las hipótesis de seguridad.

Resumen

El ataque de repetición de prueba MMR en Hyperbridge expuso una desconexión lógica central en la verificación de protocolos de cadena cruzada: la solicitud y la prueba no estaban vinculadas. Los atacantes acuñaron 1,000 millones de DOT puente, pero solo lograron vender aproximadamente 237,000 dólares en Ethereum debido a la severa falta de liquidez del activo en esa cadena. El incidente no afectó la cadena principal de Polkadot, pero evidenció la vulnerabilidad estructural en la auditoría de seguridad y la profundidad de liquidez de los activos puente. Los ataques a puentes cruzados continuarán en 2026, y el sector debe elevar sistemáticamente los estándares de seguridad en aspectos como el vínculo en los mecanismos de verificación, la minimización de permisos y la verificación formal de seguridad.

Preguntas frecuentes

Pregunta: ¿Afectará la acuñación de 10 mil millones de DOT en Hyperbridge al total de DOT en Polkadot?

No. La acuñación fue de la versión puente en Ethereum de DOT, que es un activo encapsulado, no DOT nativo de la cadena principal de Polkadot. La oferta total y la seguridad de DOT nativo permanecen intactas.

Pregunta: ¿Por qué los atacantes solo obtuvieron 237,000 dólares en lugar del valor nominal de 10 mil millones de DOT?

La causa principal es la liquidez extremadamente limitada del DOT puente en Ethereum. Cuando los atacantes vendieron en masa los 10 mil millones, el impacto en el precio fue severo, cayendo desde 1.22 dólares casi a cero, imposibilitando la conversión efectiva de la mayoría de los tokens emitidos.

Pregunta: ¿Qué es la vulnerabilidad de repetición de prueba MMR?

MMR (Merkle Mountain Range) es una variante de árbol Merkle, común en la verificación ligera en blockchain. La vulnerabilidad en Hyperbridge radica en que el contrato HandlerV1 no vincula la prueba con la solicitud durante la proceso de verificación, permitiendo a los atacantes reutilizar pruebas válidas del pasado junto con solicitudes falsificadas para obtener permisos de administrador.

Pregunta: ¿Por qué los puentes cruzados son objetivos frecuentes de ataque?

Porque los contratos que gestionan tokens en puentes cruzados tienen permisos de administración, y si la verificación falla, los atacantes pueden acuñar ilimitadamente o robar activos. La interacción de múltiples contratos y componentes fuera de la cadena aumenta la superficie de ataque, convirtiéndolos en objetivos de alto valor para los hackers.

Pregunta: ¿Cómo deben los usuarios que poseen DOT puente evaluar los riesgos?

Los usuarios deben entender que los riesgos no solo provienen de la cadena principal, sino también de la seguridad del contrato del puente. Se recomienda revisar el historial de auditorías, la cantidad bloqueada y los incidentes de seguridad previos del puente antes de participar en la provisión de liquidez o mantener activos puente.