Alephium advierte retirar liquidez hasta nuevo aviso mientras los hackers drenan $815K
- El atacante de Alephium vació USDT, USDC, WETH, WBTC y WBNB en las cadenas Ethereum y BNB.
- Alephium ha instado a los proveedores de liquidez a retirar sus fondos de los pools de ALPH en Uniswap y PancakeSwap.
- Este incidente se suma a un mes difícil para los puentes interchain, tras importantes exploits que afectaron a Gravity Bridge, Verus-Ethereum y THORChain.
Los hackers han drenado aproximadamente $815.000 del Token Bridge de Alephium en Ethereum. Mintieron 13,76 millones de tokens ALPH envueltos a partir de transacciones falsificadas, lo que llevó al proyecto a advertir a los proveedores de liquidez que retirasen sus fondos inmediatamente.
Esta vulnerabilidad se suma al número creciente de ataques a puentes que han ocurrido en mayo. El puente Verus-Ethereum perdió alrededor de $11,5 millones en un ataque el 18 de mayo, mientras que Cryptopolitan informó el 30 de mayo que Gravity Bridge perdió $5,4 millones, el mismo día que el TokenBridge de Alephium sufrió una vulnerabilidad.
¿Qué hizo que el ataque tuviera éxito?
La firma de seguridad blockchain Blockaid detectó la vulnerabilidad e informó que el atacante comprometió tres de las cuatro claves de guardianes que protegían el puente. Al obtener el control de una mayoría de firmas, el atacante falsificó Aprobaciones de Acciones Verificadas (VAAs), los mensajes criptográficos que autorizan las transferencias entre cadenas.
Según Blockaid, toda la operación tomó aproximadamente siete minutos. El atacante utilizó los VAAs falsificados para acuñar 13,76 millones de ALPH envueltos, lo que se informa que es más del 100% del suministro envuelto previo del token. Se desbloquearon activos adicionales, incluidos USDT, USDC, WBTC y WETH, del contrato de custodia del puente.
El analista on-chain Specter señaló que el ataque afectó tanto a los contratos del puente de Ethereum como al de BNB Chain. Specter declaró que el atacante luego movió los fondos robados de BNB Chain a Ethereum, y una parte ya ha sido depositada en Tornado Cash, según el análisis de Specter publicado en X.
Alephium niega el compromiso de las claves de guardianes
Sin embargo, Alephium ha proporcionado actualizaciones adicionales que discrepan de la presentación de Blockaid, afirmando: “La vulnerabilidad NO fue causada por un compromiso de las claves de guardianes, contrario a algunos informes externos iniciales.”
Según el protocolo, la vulnerabilidad fue “causada por una vulnerabilidad fuera de la cadena en el backend del puente que podría activarse en casos específicos de borde.”
Alephium dio un desglose de los fondos que fueron drenados a través de Ethereum y BNB, afirmando que se tomaron 200.967 USDT, 17.594 USDC, 5,18 WETH y 0,335 WBTC de Ethereum, mientras que se tomaron 36.750 USDT y 24,386 WBNB de BNB.
Alephium dice a los LPs que retiren
Alephium también advirtió a cualquier persona que proporcionara liquidez a los pools de ALPH en Uniswap o PancakeSwap.
En una actualización posterior, la plataforma dio una razón exhaustiva de por qué pidió a los usuarios que retirasen la liquidez, declarando, “Debido a que el puente ha sido cerrado, el atacante no puede canjear o enviar estos ALPH envueltos de vuelta a través del puente de Alephium. Por lo tanto, pedimos a los usuarios que no proporcionen liquidez a los pools de ALPH en Ethereum o BNB Chain, que retiren cualquier liquidez existente y que no intercambien contra estos pools”, añadiendo que “Cualquier liquidez adicional o actividad de trading aumentaría la capacidad del atacante para realizar valor a partir de los ALPH envueltos no autorizados.”
ALPH es actualmente cotizado a $0.037 con una capitalización de mercado de más de $5 millones, mientras que el valor total bloqueado (TVL) a través de los protocolos DeFi de Alephium se situaba en aproximadamente $756.000, y tenía más de $308.000 como TVL puenteado, según Los datos de DefiLlama.
El equipo de Alephium ha declarado que actualmente se está centrando en los esfuerzos de recuperación y remediación y prometió compartir más actualizaciones en la próxima semana.
Un mes brutal para los puentes
La vulnerabilidad de Alephium se suma a lo que se ha convertido en un período duro para la infraestructura entre cadenas.
El Hackeo de Gravity Bridge, también reportado el mismo día, vio drenados $5,4 millones a través de lo que los analistas on-chain sospechan fue un compromiso de la clave del contrato, según el informe de Cryptopolitan.
Aproximadamente dos semanas antes, el puente Verus-Ethereum perdió $11,5 millones en una vulnerabilidad de omisión de verificación, según la base de datos de hackeos de DefiLlama. THORChain también sufrió un ataque coordinado de $10 millones a través de Bitcoin, Ethereum, BNB Chain y Base el 15 de mayo, según lo reportado por Cryptopolitan.
Los puentes entre cadenas han visto un aumento de ataques de actores maliciosos recientemente, y han perdido colectivamente más de $326 millones solo en 2026 a mediados de mayo.
Los protocolos de puente representan $3.200 millones de los $16.600 millones en valor total hackeado a lo largo de la historia de las criptomonedas, según DefiLlama, una proporción desproporcionada dado el número relativamente pequeño de protocolos de puente en comparación con otras categorías DeFi.
La vulnerabilidad persistente de estas plataformas y la creciente frecuencia de ataques desde abril hasta mayo han hecho que el patrón sea difícil de ignorar.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Cómo explotaron los hackers el TokenBridge de Alephium?
El atacante comprometió tres de las cuatro claves de guardianes y las utilizó para firmar aprobaciones falsas de Acciones Verificadas, acuñando 13,76 millones de ALPH envuelto sin respaldo y desbloqueando USDT, USDC, WBTC y WETH del contrato de custodia del puente en aproximadamente siete minutos.
¿Qué deben hacer ahora los proveedores de liquidez de Alephium?
Alephium aconsejó a todos los usuarios que proporcionan liquidez en los pools de ALPH en Uniswap o PancakeSwap que retiren su liquidez inmediatamente y eviten interactuar con estos pools hasta que finalice la investigación.
¿Se han lavado los fondos robados?
El analista on-chain Specter informó de que el atacante trasladó los fondos robados desde BNB Chain a Ethereum y depositó una parte en Tornado Cash; no obstante, Blockaid señaló que el explotador aún mantenía los 815.000 dólares en activos extraídos y el ALPH envuelto sin respaldo en el momento de su informe.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
