Tres puentes DeFi atacados en 24 horas: la cronología de los exploits de julio de 2026 que drenaron $35.5 millones

Tres ataques separados a puentes DeFi ocurrieron en un lapso de 24 horas entre el 22 y 23 de julio de 2026, drenando un total combinado de aproximadamente $35.55 millones de AFX Trade, el puente Verus-Ethereum y B² Network. Los ataques no rompieron la criptografía subyacente: en cada caso, se comprometieron llaves privadas o se explotaron fallas lógicas en contratos inteligentes que permitieron retiros no autorizados . El atacante de AFX Trade utilizó posteriormente THORChain para convertir el ETH robado en BTC, mientras que el ataque al puente de Verus aprovechó una vulnerabilidad que ya había sido explotada antes .

AFX Trade — $24.15 Millones (22 de julio)

El mayor de los tres exploits tuvo como objetivo AFX Trade, un exchange descentralizado de perpetuos que opera en Arbitrum . La firma de seguridad Blockaid detectó el exploit alrededor de las 21:30 UTC del 22 de julio de 2026 .

El atacante comprometió cinco de las siete llaves de firma en caliente de los validadores del puente. La lógica del contrato inteligente en cadena no fue eludida: cinco firmas de validadores legítimos autorizaron el retiro, lo que significa que el contrato inteligente ejecutó exactamente lo que fue diseñado para hacer . El atacante drenó aproximadamente $24.15 millones en USDC del puente entre cadenas de AFX, transfirió los fondos a Ethereum y los intercambió por aproximadamente 12,467.5 ETH, consolidando el ETH en una sola billetera .

AFX Trade respondió suspendiendo las operaciones del puente, lanzando una investigación con expertos externos en seguridad y ofreciendo públicamente al hacker una recompensa del 30% (aproximadamente $7.2 millones) a cambio de devolver el 70% restante de los fondos . El protocolo declaró que su infraestructura de trading, mainnet y otros componentes no se vieron afectados . Offchain Labs, la empresa que desarrolla Arbitrum, confirmó que el puente nativo de Arbitrum no fue comprometido, solo el puente de terceros operado por AFX .

Puente Verus-Ethereum — $7.54 Millones (23 de julio)

El puente entre cadenas Verus-Ethereum fue atacado alrededor de las 03:45 UTC del 23 de julio de 2026 . El vector de ataque fue una prueba entre cadenas falsificada: el atacante explotó la "ruta de importación" del puente para activar pagos en el lado de Ethereum que no estaban respaldados por activos bloqueados correspondientes en la cadena Verus .

Crucialmente, esta fue la misma ruta de entrada de contrato y vulnerabilidad utilizada en un exploit de $11.58 millones en mayo de 2026 — una falla que no había sido completamente corregida . Después del ataque de mayo, Verus había recuperado la mayoría de los fondos a través de una recompensa y luego los redepositó en el mismo puente el 8 de julio de 2026, solo dos semanas antes del exploit repetido .

El atacante drenó aproximadamente $7.54 millones en una mezcla de activos que incluía aproximadamente 1,137 ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD . Los activos robados se convirtieron en aproximadamente 3,916.1 ETH y luego se enviaron a Tornado Cash para su mezcla . Las firmas de seguridad Blockaid y PeckShield investigaron el incidente, que atrajo duras críticas por la vulnerabilidad no resuelta .

B² Network — $3.86 Millones (23 de julio)

B² Network, un proyecto de Capa 2 de Bitcoin en BNB Chain, perdió aproximadamente $3.86 millones en un ataque detectado por el analista de cadenas Specter el 23 de julio (UTC+8) . A diferencia de los otros dos incidentes, este no fue una ruptura criptográfica del puente sino un compromiso de una llave administrativa: el atacante obtuvo acceso no autorizado a una autoridad de actualización de contrato, lo que permitió drenar los tokens B2 .

El atacante drenó aproximadamente 8.591 millones de tokens B2, los intercambió por 5,409 WBNB (~$3.11 millones), transfirió los fondos a Ethereum y, según informes, los dirigió hacia Zcash a través de NEAR Intents . La presión de venta por el desplome hizo que el precio de B2 cayera bruscamente . B² Network respondió suspendiendo el staking de tokens después de detectar el acceso no autorizado .

El Lavado del Atacante de AFX Trade a Través de THORChain

El 25 de julio de 2026, unos tres días después del exploit inicial, el hacker de AFX Trade comenzó a lavar activamente los fondos robados . El atacante utilizó THORChain, un protocolo de liquidez entre cadenas descentralizado, para intercambiar ETH por BTC . Este método evita los requisitos KYC de los exchanges centralizados y se usa comúnmente para el ocultamiento.

Según informes publicados el 25 de julio, aproximadamente 655 ETH (de los ~12,467.5 ETH totales) se habían convertido en aproximadamente 18.86 BTC . Los analistas en cadena Ash y EmberCN informaron que el hacker comenzó los intercambios aproximadamente una hora antes de que se publicaran los informes . La mayor parte de los aproximadamente 12,467 ETH permanecía en la billetera del hacker en ese momento, y la conversión a BTC a través de THORChain aún estaba en progreso .

Conclusiones Clave

• Ninguno de los tres ataques involucró criptografía rota — todos se originaron en llaves privadas comprometidas o fallas lógicas de contratos inteligentes no resueltas .
• El exploit del puente Verus-Ethereum fue una repetición de una vulnerabilidad conocida de mayo de 2026, lo que destaca el riesgo de una remediación insuficiente después de los exploits iniciales .
• Los tres atacantes siguieron un patrón de convertir rápidamente los activos robados en ETH o BTC y dirigir los fondos a través de herramientas centradas en la privacidad (Tornado Cash, THORChain, NEAR Intents) para ofuscar el rastro .
• Las pérdidas combinadas de ~$35.55 millones elevaron las pérdidas relacionadas con puentes en julio de 2026 a casi $100 millones, superando el total de junio .