El puente de Verus hackeado nuevamente por 7,54 millones de dólares mientras una clase de bug antigua sigue drenando cripto

Un atacante logró robar aproximadamente $7,54 millones del puente de Ethereum de Verus el jueves. Esta es la segunda vez en aproximadamente dos meses que se lleva a cabo con éxito una explotación utilizando este puente. Parece que la vulnerabilidad descubierta a principios de este año nunca se corrigió por completo. Esto muestra cómo algunas vulnerabilidades conocidas siguen amenazando a los sistemas entre cadenas.

Los puentes entre cadenas permiten a los usuarios bloquear activos en una cadena de bloques y, consecuentemente, emitir tokens equivalentes en otra cadena de bloques. Sin embargo, la mayoría de los puentes contienen pools de liquidez compartida extremadamente grandes. Por lo tanto, solo un pequeño error por parte de los validadores puede causar pérdidas de millones de dólares. Según la empresa de ciberseguridad blockchain Blockaid, parece haber ocurrido lo mismo en el ataque de Verus, con el mismo tipo de bug afectando algunos de los hackeos de puentes cripto más grandes desde 2022.

Un golpe repetido en el mismo contrato

Según Blockaid, el asaltante explotó el mecanismo de importaciones del puente para activar pagos relacionados con Ethereum que no correspondían a valores reales en la cadena Verus. El hacker pudo robar activos que incluían ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD, con pérdidas totales que alcanzaron aproximadamente 7,54 millones de dólares en términos de valor.

El ataque se centró en el contrato del protocolo del puente de Ethereum de Verus en 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63, mientras que el dinero se rastreó hasta la billetera del hacker 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

La evidencia de la cadena de bloques es fácilmente accesible en Etherscan. Esto incluye el contrato del puente, la billetera del atacante, así como la transacción de explotación.

El incidente es particularmente interesante porque es muy similar a otro incidente que ocurrió en mayo de 2026, el hackeo del puente de Verus donde se drenaron 11,58 millones de dólares. Blockaid declaró que ambos ataques apuntaron al mismo contrato a través de la misma ruta de importación, lo que significa que la vulnerabilidad no se ha corregido.

Por qué el bug paga millones por centavos

Las empresas de seguridad Halborn y Merkle Science también llegaron a la misma conclusión basándose en sus hallazgos tras analizar el ataque anterior.

«La vulnerabilidad no fue un fallo criptográfico, sino una validación faltante que aseguraba que el valor comprometido en la cadena Verus coincidiera con el valor liberado en Ethereum». — Rob Behnke, Halborn

Según Halborn, una transacción valorada incluso en aproximadamente 1 centavo aún pasaría todas las firmas y requisitos de prueba Merkle del puente antes de que se active el contrato inteligente de Ethereum para ejecutar esa transacción y liberar los activos valorados en millones de dólares.

Según Merkle Science, la causa del problema se determinó que era la función checkCCEValues en el código del puente.

«El puente no validó que el valor de origen coincidiera con el pago de destino, permitiendo que un atacante gastara solo tarifas mínimas mientras retiraba millones». — Mir Jalal, Merkle Science

La compañía creyó que el problema provenía de aproximadamente 10 líneas de validación de Solidity faltantes, lo que permitió al atacante convertir aproximadamente 10 dólares en tarifas de transacción de VRSC en un pago de 11,58 millones de dólares.

Las dos empresas dejaron claro que la criptografía y la prueba de validación del puente funcionaban como deberían. Sin embargo, el problema real era que el contrato no verificaba que el valor que se liberaba en Ethereum estuviera respaldado por los activos en la cadena Verus. Merkle Science señaló que el mismo tipo de fallo de validación también fue responsable de las explotaciones de los puentes Wormhole y Nomad en 2022.

Qué significa para un mercado que pensaba que los puentes eran más seguros

El incidente de Verus ocurre en un momento en que otras vías en la comunidad cripto han visto menos pérdidas por ataques de puentes.

Según los datos recopilados por TRM Labs, ha habido un total de 207 ciberataques contra cripto, lo que es lo más alto visto en cualquier período de seis meses. Por el contrario, las pérdidas totales cayeron de 2.300 millones de dólares a 972 millones de dólares durante el mismo período en 2025, y el monto mediano de los hackeos disminuyó a aproximadamente 219.000 dólares en el período actual.

La seguridad de los puentes también se ha reforzado en los últimos años. Como se indica en un informe de Immunefi, el porcentaje de pérdidas de DeFi relacionadas con hackeos de puentes en 2022 fue del 73%, pero en 2025 esa cifra había caído solo al 3%. Esto indica que la calidad de las auditorías y los diseños de puentes en el mercado mejoraron significativamente.

No obstante, la brecha en Verus revela que los avances en el sector en su conjunto no compensan las vulnerabilidades existentes no abordadas. Un problema que se reveló por primera vez después de la explotación de mayo parece haber sido explotado nuevamente, impulsando la narrativa de que lidiar con vulnerabilidades conocidas es mucho más esencial que asumir que ya no están en riesgo.

Verus no ha publicado un informe oficial sobre el incidente del jueves. Tras el incidente de mayo, Merkle Science instruyó a los usuarios a abstenerse de utilizar el puente hasta que se resolviera la validación defectuosa y se obtuviera la aprobación de un auditor independiente. Los usuarios deben tener precaución y evitar las transferencias a través del puente hasta que el proyecto pueda confirmar que este trabajo ha sido completado.