El puente cross-chain de Ethereum de Ankr sufrió un exploit el 9 de noviembre que permitió a un atacante sustraer más de 303.000 dólares en criptomonedas y dejó al descubierto preocupantes deficiencias en el proceso de verificación de transacciones del puente. Qué ocurrió - La empresa de seguridad blockchain Blockaid fue la primera en señalar el incidente, al que calificó de «exploit en curso». Onchain Lens también alertó a la comunidad. Según los registros on-chain, el atacante ejecutó cinco retiros entre las 3:09 y las 3:12 a. m., hora del Este, y transfirió todos los activos robados a una única billetera de destino. - Las primeras estimaciones de Blockaid situaron las pérdidas en unos 292.000 dólares; posteriormente, las consultas de precios de los tokens elevaron el valor combinado de los activos con precio conocido a aproximadamente 303.600 dólares. En el momento de la consulta, Etherscan no mostraba precios para dos de los tokens retirados (5,372.25 aMATICb y 0.8196 aETHb), por lo que no se incluyeron en esa estimación. Desglose de los activos sustraídos - ~82.91 ankrETH — unos 216.370 dólares (el componente más importante) - 515,206 ankrPOL — unos 56.372 dólares - ~7.98 millones de ANKR — unos 30.857 dólares - más las transferencias de aMATICb y aETHb sin precio indicadas anteriormente Cómo lo hizo el atacante - El exploit gira en torno a un pequeño depósito enviado originalmente a través de Optimism el 3 de noviembre: 0.0044024803 ankrETH, que, según se informó, ya se había canjeado en Ethereum ese mismo día. - El 9 de noviembre, el atacante hizo referencia a ese mismo depósito al emitir cinco nuevas solicitudes de retiro. Cada solicitud incluía datos de recibo alterados que indicaban destinatarios distintos, cantidades de retiro mayores y tokens diferentes a los de la transferencia original. - Normalmente, el puente de Ankr requiere la aprobación de un firmante designado para autorizar los retiros, una vez verificado el depósito en el backend. La aceptación de los retiros indica que se produjo un fallo en algún punto de la cadena de autorización —ya fuera en el proceso de firma, la validación del recibo u otro componente—, pero los registros disponibles no permiten identificar el vector exacto. Estado operativo y alcance - A las 3:49 a. m., hora del Este, el historial de transacciones del puente no mostraba actividad posterior y el indicador público de pausa seguía en «false», por lo que no está claro si Ankr tomó medidas internas para detener las operaciones. - Aún no se ha confirmado si la brecha afectó a la infraestructura más amplia de Ankr —incluidos los servicios RPC— o a las billeteras de los usuarios. Los retiros corresponden a activos depositados en el contrato específico del puente de Ethereum. - crypto.news se puso en contacto con Ankr para solicitar comentarios; la empresa no había respondido al cierre de esta edición. Contexto y precedentes - Este no es el primer incidente de Ankr. En agosto, una vulnerabilidad en ankrFLOW permitió crear millones de tokens sin respaldo y provocó pérdidas de unos 410.000 dólares vinculadas a MORE Markets. - Otros operadores de puentes han sufrido este año fallos similares de autorización y detección de depósitos: en octubre, Cysic suspendió su puente después de que un atacante creara 10 millones de tokens CYS sin autorización en BNB Smart Chain, y en agosto un puente de XRPL informó del robo de 198,715.88 XRP debido a una lógica defectuosa de detección de depósitos. Por qué es importante Los puentes cross-chain son objetivos frecuentes porque concentran liquidez y dependen de sistemas complejos de verificación y firma. Un fallo que permite que un único depósito referenciado autorice múltiples retiros modificados socava los supuestos de confianza fundamentales de la arquitectura de los puentes y plantea preguntas urgentes sobre la solidez de la verificación y la seguridad de los firmantes. Qué sigue Los investigadores y los equipos de seguridad aún están reconstruyendo cómo se eludió la autorización y si se vieron afectados otros contratos o servicios. Los usuarios y proyectos que interactúan con el puente de Ankr deberían seguir las actualizaciones oficiales y las alertas on-chain mientras continúa la investigación. Lee más noticias generadas por IA en: https://app.chaingpt.org/news