El exploit a Triple-A: cómo las pérdidas pasaron de $9.3M a $11.8M en 31 horas a través de 7 cadenas

El 24 de julio de 2026, Triple-A, una pasarela de pagos cripto con sede en Singapur, se convirtió en la última víctima de un gran exploit de billeteras calientes (hot wallets). Lo que comenzó como un robo estimado en $9.3 millones escaló rápidamente durante las siguientes 31 horas, alcanzando finalmente los $11.8 millones a medida que los atacantes drenaban los nuevos depósitos que seguían llegando. El incidente abarcó siete blockchains y puso de relieve una tendencia creciente en las filtraciones de seguridad cripto: los atacantes apuntan cada vez más a la infraestructura operativa en lugar de a las vulnerabilidades de los contratos inteligentes.

El ataque y la escalada de pérdidas

El investigador en cadena Specter fue el primero en detectar el compromiso de las billeteras calientes de Triple-A el viernes 24 de julio de 2026 a las 5:18 p. m., hora del Este (ET), con una estimación inicial de $9.3 millones robados en múltiples blockchains . En las siguientes 31 horas, la cifra de pérdidas creció hasta aproximadamente $11.8 millones, ya que los nuevos depósitos seguían llegando a las billeteras comprometidas y eran drenados inmediatamente por el atacante . Este patrón de "sangrado" —donde la clave de una billetera caliente se ve comprometida pero la billetera permanece activa, drenando automáticamente cualquier nuevo fondo entrante— distingue este incidente de un exploit único.

Redes afectadas

El atacante drenó activos a través de siete redes blockchain: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network (TON) y Bitcoin . La naturaleza multicadena del ataque requirió que el atacante intercambiara y puenteara activos de manera eficiente, lo que indica una operación sofisticada.

Consolidación de activos y movimiento en cadena

Una característica distintiva del exploit fue el método del atacante para consolidar los fondos. El atacante intercambió las stablecoins robadas en exchanges descentralizados y puenteó todas las ganancias a una única dirección de Ethereum que finalmente llegó a contener aproximadamente 5,227 ETH, valorados en unos $9.73 millones en ese momento . Este patrón de consolidación es típico de los exploits de billeteras calientes, donde el atacante convierte activos que no son nativos en ETH para facilitar su movimiento o lavado .

Respuesta de Triple-A y segregación de activos

Triple-A confirmó la brecha en su billetera de tesorería y declaró que los fondos de los clientes no se vieron afectados — las billeteras comprometidas eran billeteras de tesorería corporativa, no cuentas de custodia de clientes . La compañía dijo que asumiría el impacto financiero directamente y que estaba investigando activamente el incidente . Esto destaca una arquitectura de seguridad crítica: el modelo de segregación de activos de clientes de Triple-A mantuvo los fondos de los usuarios en cuentas protegidas y dedicadas, separadas de las billeteras de tesorería operativas que fueron comprometidas .

Estatus regulatorio de Triple-A

Triple-A es una pasarela de pagos de cripto a fiduciario con sede en Singapur, fundada en 2020. Posee uno de los conjuntos de licencias más amplios del sector de pagos cripto:

• Una licencia de Institución de Pagos Importantes (MPI) de la Autoridad Monetaria de Singapur (MAS)
• Una licencia MiCA de Proveedor de Servicios de Criptoactivos (CASP) de la AMF de Francia, que autoriza servicios en todos los 30 estados de la UE/EEE
• Aprobación en principio de la Autoridad Reguladora de Activos Virtuales (VARA) de Dubái para servicios de broker-dealer

La compañía también había establecido asociaciones con Mastercard para fortalecer la infraestructura de pagos transfronterizos .

Panorama general de los hackeos cripto en 2026

El hackeo a Triple-A no ocurrió de forma aislada. Múltiples firmas de seguridad reportaron una actividad de hackeos récord o casi récord en el primer semestre de 2026:

Fuente	Pérdidas totales H1 2026	Número de incidentes	Vectores clave
TRM Labs	$972 millones	207 hackeos	Compromisos operativos, gestión de claves
Immunefi	~$972 millones	207 incidentes	Número récord de incidentes
CertiK	~$1.32 mil millones	344 incidentes	Exploits multicadena
PeckShield	~$750 millones+	~200+	Vulnerabilidades de puentes, fallos en contratos inteligentes, claves privadas comprometidas

PeckShield destacó específicamente que los vectores de ataque más comunes en el H1 de 2026 fueron las vulnerabilidades de puentes, los fallos en contratos inteligentes y las claves privadas comprometidas . TRM Labs señaló que los compromisos operativos —incluyendo la gestión de claves y la infraestructura de firma— ahora representan una mayor proporción de las pérdidas que los exploits puros de contratos inteligentes . Se culpó a grupos vinculados a Corea del Norte por aproximadamente $643 millones (~66%) de las pérdidas totales del H1 .

Immunefi reportó que, aunque las pérdidas totales cayeron por debajo de los $1 mil millones en el primer semestre de 2026 —menos de la mitad de los $2.3 mil millones robados en el H1 de 2025— el número de incidentes, 207, fue el más alto jamás registrado . The Block señaló de manera similar que el daño más grave proviene cada vez más de fallos en la infraestructura, compromisos de claves privadas, errores de configuración entre cadenas y debilidades en el acceso privilegiado .

Puntos importantes a tener en cuenta

• Los informes difieren en la cifra final de pérdidas: el rastreo en cadena de Specter se estableció en $11.8M, mientras que algunos medios reportaron $12M .
• La red Bitcoin fue mencionada entre las cadenas afectadas en algunos informes, pero no en todos, lo que sugiere que la participación de Bitcoin pudo haber sido indirecta o una parte menor del total .
• Las garantías de Triple-A sobre los fondos de los clientes se refieren específicamente a que las cuentas de custodia de los clientes estaban separadas de las billeteras de tesorería comprometidas .

Qué significa esto

El hackeo de la billetera caliente de Triple-A es un ejemplo clásico de la evolución del panorama de amenazas en el mundo cripto. El atacante no explotó un error en un contrato inteligente; comprometió la clave privada de una billetera caliente, un tipo de fallo operativo que ahora representa la mayoría del valor robado en 2026. Para las pasarelas de pago reguladas con múltiples licencias, el incidente demuestra tanto la importancia de la segregación de activos (que protegió los fondos de los clientes) como la vulnerabilidad persistente de la infraestructura de billeteras calientes. A medida que la industria se adentra en la segunda mitad de 2026, la lección es clara: asegurar las claves privadas y la infraestructura operativa es ahora más crítico que auditar el código de los contratos inteligentes.