- La firma de seguridad blockchain Blockaid detectó un hackeo en el frontend del subdominio de votación de Yield Yak, donde los atacantes inyectaron el script malicioso "Eleven drainer" para robar billeteras.
- El ataque se asemeja a una brecha reciente en Gitcoin, lo que sugiere una tendencia creciente de hackers que apuntan a subdominios de plataformas cripto en lugar de contratos inteligentes principales.
- No se han publicado cifras confirmadas de pérdidas, pero los usuarios que conectaron sus billeteras al sitio comprometido podrían haber estado expuestos a transacciones no autorizadas.
La empresa de ciberseguridad blockchain Blockaid detectó un hackeo de front-end en el sitio web de la plataforma de agregación de rendimientos de finanzas descentralizadas (DeFi), Yield Yak, el 24 de junio de 2026. Según Blockaid, el front-end del sitio de Yield Yak había sido comprometido por scripts maliciosos de drenaje de carteras. Marca la segunda vez en días que un ataque de esta naturaleza ha tenido lugar contra una plataforma importante de intercambio de criptomonedas y es la última adición a la tendencia reciente de hackeos de front-end que apuntan a plataformas importantes de criptomonedas.
Según el proceso de detección de Blockaid, el subdominio vote.yieldyak.com había sido comprometido con código de un software llamado
El atacante utiliza un juego de tácticas clásico
El hackeo en Yield Yak se asemeja a la vulnerabilidad detectada en Gitcoin, una plataforma de financiación de código abierto, hace solo unos días. Según Blockaid el 21 de junio, files.gitcoin.co, un subdominio de Gitcoin, tenía el mismo código de drenaje Eleven y advirtió a las personas que se alejaran de la plataforma ya que estaba siendo revisada. Blockaid asoció directamente los dos hackeos, señalando que el ataque en Yield Yak
🚨El sistema de Blockaid ha identificado un ataque de front-end en yieldyak[.]com por @yieldyak_. El subdominio del sitio – vote[.]yieldyak[.]com ahora contiene código de eleven drainer.
— Blockaid (@blockaid_) Junio 24, 2026
Esto sigue al incidente de ayer en @gitcoin que ha operado de manera similar pic.twitter.com/YFmWEYfa7D
En ambos casos, los subdominios fueron comprometidos en lugar de las interfaces de la aplicación principal. El producto principal de Yield Yak, un protocolo de cultivo de rendimientos de capitalización automática en Avalanche, funciona en el dominio principal. El subdominio de votación comprometido parece ser un punto de entrada secundario, pero cualquiera que accediera a él correría el riesgo de tener su cartera vaciada.
La falta de cifras definitivas de pérdidas no siempre significa consecuencias mínimas. Las vulnerabilidades de front-end generalmente pasan por un proceso de investigación durante horas o incluso días cuando los equipos de seguridad identifican interacciones entre carteras y verifican si los usuarios ejecutaron transacciones maliciosas. En otros casos de drenaje este año, las pérdidas oscilaron entre varios miles de dólares y millones de dólares según el número de personas que conectaron carteras hasta que se eliminó el código malicioso. Por ejemplo, en uno de los incidentes monitoreados por Blockaid, los hackers tomaron aproximadamente $3.2 millones de 86 carteras Safe utilizando una vulnerabilidad de un módulo de terceros en mayo. El segundo ejemplo es la explotación de TrustedVolumes de proveedores de liquidez que llevó a pérdidas de $5.9 millones.
Aumento de ataques de front-end
Los hackeos mencionados de Yield Yak y Gitcoin son parte de una tendencia más grande que sacudió a la comunidad de criptomonedas este año. El ataque de front-end, cuando un atacante explota el sitio web de un proyecto sin afectar los contratos inteligentes, ha aumentado en frecuencia en las principales plataformas DeFi.
A principios de año, OpenEden, Curvance y Maple Finance sufrieron ataques de front-end en una sola semana en febrero. Esos ataques utilizaron un kit de herramientas drainer diferente llamado AngelFerno pero siguieron el mismo método: obtener acceso a la infraestructura web de un proyecto, insertar código que secuestra las conexiones de carteras y esperar a que los usuarios interactúen.
Blockaid documentó un patrón aún más agresivo en abril de 2026. Después de los exploits de alto perfil en Drift Protocol, KelpDAO y otras plataformas, los operadores de drainers crearon dominios similares en cuestión de horas para interceptar a usuarios en pánico que buscaban formas de revocar aprobaciones de tokens. La firma describió abril de 2026 como
Lo que los usuarios de Yield Yak deben saber
Yield Yak es un protocolo DeFi en Avalanche que capitaliza automáticamente las recompensas de cultivo de rendimientos y opera un agregador de intercambio descentralizado, según su listado en Alchemy. Los usuarios que depositaron activos a través de los contratos inteligentes de la plataforma principal no se ven afectados directamente por un compromiso de front-end, ya que los contratos subyacentes permanecen sin cambios. El riesgo aplica a cualquiera que visitara el subdominio comprometido y conectara una cartera o firmara una transacción.
A la fecha de publicación, ni Yield Yak ni Gitcoin habían emitido declaraciones públicas sobre el estado de la remediación de sus respectivos incidentes. Ninguna firma de seguridad o investigador blockchain ha informado públicamente de pérdidas confirmadas vinculadas al compromiso de Yield Yak, y actualmente no hay evidencia on-chain que indique la escala de cualquier robo potencial. Blockaid aconsejó a los usuarios no interactuar con los sitios web afectados mientras se investiga y remedia el problema.
Los usuarios que sospechen que interactuaron con vote.yieldyak.com deben revocar cualquier aprobación de token otorgada durante la sesión utilizando una herramienta de confianza y monitorear sus carteras para transferencias no autorizadas.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué sucedió con el sitio web de Yield Yak?
Según la alerta de Blockaid en X del 24 de junio de 2026, la firma de seguridad detectó que el subdominio vote.yieldyak.com de Yield Yak fue inyectado con código malicioso "Eleven drainer", diseñado para robar activos cripto cuando los usuarios conectan sus billeteras.
¿Es Eleven Drainer el mismo malware que afectó a Gitcoin?
Sí. Blockaid confirmó que el ataque a Yield Yak utilizó el mismo código "Eleven drainer" encontrado en los archivos del subdominio files.gitcoin.co de Gitcoin tres días antes, y señaló que ambos incidentes operaron de manera similar.
¿Los contratos inteligentes de Yield Yak y los fondos depositados están afectados?
Los ataques front-end tienen como objetivo el sitio web de un proyecto, no sus contratos inteligentes. Los usuarios que no visitaron ni interactuaron con el subdominio comprometido no están directamente en riesgo, pero cualquier persona que haya conectado una billetera a vote.yieldyak.com debe revocar las aprobaciones de tokens y verificar si hay transacciones no autorizadas.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Ashish Kumar
Ashish Kumar es periodista especializado en criptomonedas y finanzas con ocho años de experiencia en redacciones. Cubre lo que ocurre en los mercados de criptomonedas, la regulación, DeFi y los ecosistemas de exchanges. Ha trabajado en Coingape, Todayq y Newsroompost. Ashish posee un PGDP en Periodismo Inglés del IIMC. También ha entrevistado a figuras del sector como Arthur Hayes, Yat Siu, Austin Federa y más.
