Tres puentes DeFi atacados en 24 horas: la cronología de los exploits de julio de 2026 que drenaron $35.5 millones

AFX Trade — $24.15 Millones (22 de julio)

El mayor de los tres exploits tuvo como objetivo AFX Trade, un exchange descentralizado de perpetuos que opera en Arbitrum . La firma de seguridad Blockaid detectó el exploit alrededor de las 21:30 UTC del 22 de julio de 2026 .

El atacante comprometió cinco de las siete llaves de firma en caliente de los validadores del puente. La lógica del contrato inteligente en cadena no fue eludida: cinco firmas de validadores legítimos autorizaron el retiro, lo que significa que el contrato inteligente ejecutó exactamente lo que fue diseñado para hacer . El atacante drenó aproximadamente $24.15 millones en USDC del puente entre cadenas de AFX, transfirió los fondos a Ethereum y los intercambió por aproximadamente 12,467.5 ETH, consolidando el ETH en una sola billetera .

AFX Trade respondió suspendiendo las operaciones del puente, lanzando una investigación con expertos externos en seguridad y ofreciendo públicamente al hacker una recompensa del 30% (aproximadamente $7.2 millones) a cambio de devolver el 70% restante de los fondos . El protocolo declaró que su infraestructura de trading, mainnet y otros componentes no se vieron afectados . Offchain Labs, la empresa que desarrolla Arbitrum, confirmó que el puente nativo de Arbitrum no fue comprometido, solo el puente de terceros operado por AFX .

Puente Verus-Ethereum — $7.54 Millones (23 de julio)

El puente entre cadenas Verus-Ethereum fue atacado alrededor de las 03:45 UTC del 23 de julio de 2026 . El vector de ataque fue una prueba entre cadenas falsificada: el atacante explotó la "ruta de importación" del puente para activar pagos en el lado de Ethereum que no estaban respaldados por activos bloqueados correspondientes en la cadena Verus .

Crucialmente, esta fue la misma ruta de entrada de contrato y vulnerabilidad utilizada en un exploit de $11.58 millones en mayo de 2026 — una falla que no había sido completamente corregida . Después del ataque de mayo, Verus había recuperado la mayoría de los fondos a través de una recompensa y luego los redepositó en el mismo puente el 8 de julio de 2026, solo dos semanas antes del exploit repetido .

El atacante drenó aproximadamente $7.54 millones en una mezcla de activos que incluía aproximadamente 1,137 ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD . Los activos robados se convirtieron en aproximadamente 3,916.1 ETH y luego se enviaron a Tornado Cash para su mezcla . Las firmas de seguridad Blockaid y PeckShield investigaron el incidente, que atrajo duras críticas por la vulnerabilidad no resuelta .

B² Network — $3.86 Millones (23 de julio)

B² Network, un proyecto de Capa 2 de Bitcoin en BNB Chain, perdió aproximadamente $3.86 millones en un ataque detectado por el analista de cadenas Specter el 23 de julio (UTC+8) . A diferencia de los otros dos incidentes, este no fue una ruptura criptográfica del puente sino un compromiso de una llave administrativa: el atacante obtuvo acceso no autorizado a una autoridad de actualización de contrato, lo que permitió drenar los tokens B2 .

El atacante drenó aproximadamente 8.591 millones de tokens B2, los intercambió por 5,409 WBNB (~$3.11 millones), transfirió los fondos a Ethereum y, según informes, los dirigió hacia Zcash a través de NEAR Intents . La presión de venta por el desplome hizo que el precio de B2 cayera bruscamente . B² Network respondió suspendiendo el staking de tokens después de detectar el acceso no autorizado .

El Lavado del Atacante de AFX Trade a Través de THORChain

El 25 de julio de 2026, unos tres días después del exploit inicial, el hacker de AFX Trade comenzó a lavar activamente los fondos robados . El atacante utilizó THORChain, un protocolo de liquidez entre cadenas descentralizado, para intercambiar ETH por BTC . Este método evita los requisitos KYC de los exchanges centralizados y se usa comúnmente para el ocultamiento.

Según informes publicados el 25 de julio, aproximadamente 655 ETH (de los ~12,467.5 ETH totales) se habían convertido en aproximadamente 18.86 BTC . Los analistas en cadena Ash y EmberCN informaron que el hacker comenzó los intercambios aproximadamente una hora antes de que se publicaran los informes . La mayor parte de los aproximadamente 12,467 ETH permanecía en la billetera del hacker en ese momento, y la conversión a BTC a través de THORChain aún estaba en progreso .

Conclusiones Clave

• Ninguno de los tres ataques involucró criptografía rota — todos se originaron en llaves privadas comprometidas o fallas lógicas de contratos inteligentes no resueltas .
• El exploit del puente Verus-Ethereum fue una repetición de una vulnerabilidad conocida de mayo de 2026, lo que destaca el riesgo de una remediación insuficiente después de los exploits iniciales .
• Los tres atacantes siguieron un patrón de convertir rápidamente los activos robados en ETH o BTC y dirigir los fondos a través de herramientas centradas en la privacidad (Tornado Cash, THORChain, NEAR Intents) para ofuscar el rastro .
• Las pérdidas combinadas de ~$35.55 millones elevaron las pérdidas relacionadas con puentes en julio de 2026 a casi $100 millones, superando el total de junio .