Un puente entre cadenas toma un activo que tienes en una blockchain y lo hace equivalente y disponible en otra, normalmente bloqueando el original en un contrato y acuñando una versión envuelta en otro lugar, o recurriendo a pools de liquidez situados en ambas cadenas, según Presto Research (3 de junio de 2024). Los puentes siguen fallando porque esa transferencia depende de un número reducido de puntos de confianza: quién valida el mensaje, qué comprueba realmente el código del contrato y cómo está configurado el sistema; y una falla en cualquiera de ellos permite a un atacante acuñar o liberar fondos sin un depósito real.
Cómo se mueve un activo entre dos diseños
En un puente de bloqueo y acuñación (lock-and-mint), al depositar un activo en la cadena de origen este queda bloqueado en un contrato inteligente; los validadores del puente confirman el bloqueo, y un token envuelto se acuña en la cadena de destino, redimible más tarde quemando el token envuelto y desbloqueando el original, según Presto Research. Un puente con pool de liquidez omite la acuñación por completo: el depósito del usuario se envía a un pool en la cadena de origen y un pool coincidente en la cadena de destino paga la cantidad equivalente con sus propias reservas, según la misma fuente. Ambos diseños comparten una propiedad que Chainalysis destacó en su publicación del 2 de agosto de 2022: concentran fondos en un único punto de almacenamiento, ya sea un contrato inteligente o un conjunto de validadores, y esa concentración es lo que hace que los puentes sean objetivos atractivos.
Modo de falla uno: los validadores se comprometen
Si un puente depende de un pequeño conjunto de validadores externos para aprobar transferencias, controlar una mayoría de ese conjunto basta para aprobar transferencias fraudulentas. Presto Research describe el exploit del puente Ronin de marzo de 2022 de esta manera: Ronin operaba un modelo de prueba de autoridad asegurado por nueve validadores, y comprometer a cinco de ellos permitió a un atacante aprobar una transferencia de 173.600 ETH y 25,5M USDC a una dirección que no tenía ETH envuelto legítimo en la cadena: la pérdida que Presto Research estima es de aproximadamente $625M en dos transacciones.
Modo de falla dos: la lógica del contrato tiene un agujero
Un segundo patrón es un fallo en el propio código de verificación de depósitos del puente, que permite que un atacante dispare una acuñación en la cadena de destino sin depositar nunca un activo real en la cadena de origen: lo que Presto Research llama un depósito falso. Su ejemplo es el puente Ethereum-BSC de Qubit Finance en enero de 2022: como el contrato usaba código personalizado en lugar de una librería estándar, un atacante descubrió que al enviar la dirección nula como contrato de tokens en la función de depósito se evitaba por completo la validación, lo que le permitió acuñar aproximadamente $185M en qXETH en BSC mientras depositaba 0 ETH; para una pérdida total, Presto Research la sitúa en aproximadamente $80M una vez que los tokens acuñados se intercambiaron.
Modo de falla tres: el mensaje entre cadenas se falsifica o se verifica de forma insuficiente
Los puentes modernos a menudo usan una capa de mensajería —Axelar, LayerZero y protocolos similares— para indicarle a la cadena de destino que un depósito realmente ocurrió en la cadena de origen. Si el contrato receptor no verifica el mensaje con suficiente rigurosidad, un atacante puede falsificar uno. El relato de Halborn sobre el hack de CrossCurve, publicado el 9 de febrero de 2026, describe exactamente esto: el contrato ReceiverAxelar de CrossCurve tenía controles de acceso débiles, lo que permitió que un atacante fabricara mensajes que parecían provenir de Axelar e indicaran al contrato PortalV2 liberar fondos en múltiples cadenas; la pérdida que Halborn estima es de aproximadamente $3 millones. El mismo mecanismo, a una escala mucho mayor, es como la fuente de KuCoin (citando datos de PeckShield hasta mediados de mayo de 2026) describe el exploit del puente de Kelp DAO del 18 al 19 de abril de 2026: los atacantes falsificaron un mensaje entre cadenas en el puente de Kelp impulsado por LayerZero y liberaron alrededor de 116.500 rsETH, aproximadamente 18% de la oferta circulante de ese token; la pérdida que la fuente de KuCoin sitúa en aproximadamente $292 millones. 1inch, citando un reporte de TechRadar, sitúa el mismo incidente en aproximadamente $290 mln; las dos cifras no se concilian en la evidencia disponible para esta mesa. La plataforma de préstamos Aave congeló los mercados de rsETH en respuesta, según la fuente de KuCoin; 1inch, por su parte, solo dice que participó junto con otros protocolos en esfuerzos para ayudar a recuperar activos afectados por el incidente en Aave, y no describe un congelamiento. Una instancia más pequeña del mismo modo de falla afectó a Hyperbridge en abril, según 1inch: un mensaje falsificado permitió que un atacante acuñara 1.000 millones de tokens DOT puenteados y los vendiera en la liquidez disponible, con pérdidas iniciales reportadas de aproximadamente $237.000 y una evaluación posterior que sitúa las pérdidas realizadas cerca de $2,5 mln. Y en mayo, según la cita de 1inch de un reporte de Cointelegraph, firmas de seguridad Blockaid y PeckShield señalaron un exploit del puente de Ethereum de Verus Protocol el 18 de mayo, en el que, según la cuenta de Blockaid, el problema no era una omisión de ECDSA, no era una filtración de clave de notario, y no era un fallo del analizador (parser), sino una validación faltante de la cantidad desde la fuente (source-amount validation), lo que permitió al atacante drenar activos por aproximadamente $11,6 mln, luego convertidos a unos 5.402 ETH.
Modo de falla cuatro: cómo está configurado el puente
Incluso un buen protocolo de mensajería puede verse socavado por la forma en que un proyecto específico lo configura. Según 1inch, LayerZero dijo que el exploit de Kelp DAO se rastreó hasta las decisiones de configuración de Kelp, incluida su elección de usar una única red descentralizada de verificadores (DVN) en lugar de varias independientes; Kelp negó esa versión. Ninguna declaración propia de las partes está en la evidencia revisada para esta página, así que la disputa queda sin resolverse aquí; aun así, ilustra que la seguridad de un protocolo de mensajería depende en parte de las decisiones que el operador del puente toma sobre él.
Qué muestran y qué no muestran los totales
La estimación de Chainalysis del 2 de agosto de 2022, de $2.000 millones robados en 13 hacks de puentes, que representa el 69% de todo el cripto robado ese año, y su estimación de que los hackers vinculados a Corea del Norte se habían llevado alrededor de $1.000 millones desde puentes y otros protocolos DeFi en 2022, describen un año calendario específico usando la propia metodología de trazado de Chainalysis. La fuente de KuCoin, citando datos de PeckShield, describe una ventana distinta: ocho ataques de puentes de febrero a mediados de mayo de 2026 por un total de aproximadamente $328,6-329 millones, usando un conjunto de datos que esta mesa no ha visto directamente, solo el resumen de KuCoin. Las dos cifras cubren años distintos, distintos conteos de incidentes y metodologías no divulgadas; agregarlas o leer una línea de tendencia entre ellas no es algo que la evidencia respalde. Por separado, la fuente de KuCoin informa pérdidas totales relacionadas con DeFi en 2026 que superan los $750 millones hasta mediados de abril, una cifra que incluye incidentes más allá de los puentes, incluyendo la pérdida de aproximadamente $285 millones de Drift Protocol el 1 de abril de 2026, que según la misma fuente involucró meses de ingeniería social, un token de bajo valor en lista blanca usado como colateral falso y acceso administrativo privilegiado, no un fallo en el contrato de ningún puente ni en su capa de mensajería. Reportar que Drift Protocol se agrupa en un “resumen de hacks de puentes” describe una falla de confianza operativa, no el mecanismo que cubre esta página.
Lo que esta página no le dice
Esta página no puede decirle si la seguridad de los puentes está mejorando o empeorando con el tiempo. Las únicas dos cifras agregadas en evidencia: el recuento de Chainalysis de $2.000 millones hasta agosto de 2022 y el recuento de $328,6-329 millones, basado en datos de PeckShield y atribuido a KuCoin para unos meses de 2026, usan ventanas de tiempo, alcances y metodologías diferentes que ninguna de las dos fuentes divulga por completo, por lo que no pueden compararse como una tendencia. Cuando dos medios dan cifras distintas para el mismo incidente, como en el caso de los $292 millones de Kelp DAO (fuente de KuCoin, citando a PeckShield) frente a $290 mln (1inch, citando a TechRadar), esta página menciona ambas en lugar de elegir una, porque ninguna fuente muestra su cálculo subyacente. Varios datos de 2026 aquí dependen de reportes secundarios: este despacho no ha visto una autopsia primaria, un informe de auditoría o un informe forense on-chain del tipo de los que se han publicado por parte de Kelp DAO, Drift Protocol o Verus Protocol, y no puede confirmar de forma independiente la atribución al atacante, incluidas las afirmaciones que vinculan los incidentes con grupos relacionados con Corea del Norte, más allá de lo que cada medio informa. Las estimaciones de pérdidas tempranas también pueden cambiar: la cifra inicial de Hyperbridge de aproximadamente $237.000 fue luego revisada por 1inch a cerca de $2,5 mln, y una cifra reportada en las horas posteriores a un exploit no debería tratarse como la definitiva.
Fuentes
Todos los hechos anteriores se atribuyen a uno de estos reportes. Cuando discrepan, el artículo lo indica.
Mesa de referencia de TheCoinrise
Mesa de referencia de TheCoinrise
Mesa de referencia de TheCoinrise
Mesa de referencia de TheCoinrise
Mesa de referencia de TheCoinrise
El artículo “What a bridge actually does with your asset, and the four ways they fail” apareció primero en TheCoinrise.com.