Empecemos con un dato que merece atención: en la base de datos de hackeos de DefiLlama, los incidentes etiquetados como «puentes entre cadenas» fueron 11 en todo 2025, con pérdidas de unos 38,3 millones de dólares; en lo que va de 2026 ya suman 49, con pérdidas acumuladas de unos 753 millones de dólares. La cifra de incidentes supera en más de cuatro veces la del año pasado. Dos incidentes de gran magnitud (Liquid Network, unos 320 millones, y Kelp, unos 293 millones) representan la mayor parte de esa cantidad, pero la frecuencia de los incidentes sí está aumentando.
Primero, aclaremos el concepto. Una práctica habitual de los puentes entre cadenas consiste en «bloquear y acuñar»: bloqueas tus activos en un contrato de la cadena A y el puente emite en la cadena B una cantidad equivalente de «tokens representativos». Toda la seguridad del sistema depende de una premisa: por cada token representativo en la cadena B, hay activos reales bloqueados en la cadena A. Si se rompe esa correspondencia, se produce un incidente.
Si analizamos estos tres casos de esta semana, veremos que cada uno falló por un motivo distinto:
1) Cysic (17 de octubre): aprovechando los permisos de la base de datos detrás del puente y una vulnerabilidad en el procesamiento de mensajes, el atacante acuñó de la nada 10 millones de CYS en BNB Chain y, según se informó, obtuvo unos 727.000 dólares. El contrato en sí no fue «hackeado»: engañaron al sistema para que creyera haber recibido una instrucción legítima.
2) Puente entre cadenas de WAX (22 de octubre): hubo cinco retiros sin los pagos correspondientes en el lado de WAX, mientras que en el otro lado los fondos se liberaron con normalidad. Las pérdidas se estiman entre 75.000 y 90.000 dólares. El servicio se restableció al día siguiente y se estableció un límite por transacción.
3) Initia (23 de octubre): el problema estaba en la máquina virtual de la propia cadena, que generó saldos sin respaldo en activos. Luego se retiraron unos 2,7 millones de dólares a través del puente y, unos 42 minutos después, se pausó toda la cadena.
Además, el X-Bridge de Zilliqa también está suspendido actualmente y, según se informó, el incidente involucra unos 800.000 dólares; asimismo, se acuñaron tokens envueltos de Iron Fish en Base por encima de lo permitido. Estos detalles siguen bajo investigación; consulta los anuncios oficiales de los proyectos.
Los tres casos tienen algo en común: el puente aceptó una «prueba» que no debía aceptar. Así que, para los usuarios comunes, lo que pueden hacer no es auditar el código, sino reducir los riesgos:
• Usa solo las vías oficiales del proyecto. Primero haz una prueba con una cantidad pequeña y, cuando llegue, transfiere el resto.
• No mantengas durante mucho tiempo los tokens envueltos (activos transferidos a través del puente); cuando termines de usarlos, cámbialos cuanto antes por el activo nativo.
• Si el puente está pausado, no intentes usar un agregador de terceros como alternativa: a menudo estos siguen llamando a los mismos contratos.
• Para transferir grandes cantidades, procura usar rutas que conozcas, con auditorías públicas y límites; si es necesario, divide la transferencia en varias partes.
Cuantos más puentes haya, mayor será la superficie de ataque. Es una cuestión estructural, no cuestión de la «suerte» de un proyecto en particular.
Cuando haces transferencias entre cadenas, ¿sueles probar primero con una cantidad pequeña o acostumbras a transferirlo todo de una vez? Cuéntanos cómo lo haces.
Lo anterior es una recopilación personal con fines de aprendizaje y no constituye asesoramiento de inversión.