13 de abril de 2026, la firma de seguridad blockchain CertiK detectó un exploit de vulnerabilidad dirigido al contrato gateway de Hyperbridge para interoperabilidad entre cadenas. El atacante falsificó mensajes cross-chain para manipular los privilegios de administrador del contrato del token Polkadot (DOT) puenteado en Ethereum, acuñando ilegalmente 1 000 millones de DOT puenteados y liquidándolos de inmediato. Aunque el valor nominal superaba los 1 000 millones de dólares, el atacante solo obtuvo un beneficio de aproximadamente 108,2 ETH, unos 237 000 dólares. Este "golpe" se desvaneció por la falta de liquidez suficiente, pero volvió a poner en el centro del debate las históricas debilidades de seguridad de los puentes entre cadenas.
Cómo se desencadenó la vulnerabilidad de repetición de prueba MMR
¿Cuál fue el origen técnico de este ataque? BlockSec Phalcon clasificó la vulnerabilidad como un exploit de repetición de prueba MMR (Merkle Mountain Range). El contrato HandlerV1 de Hyperbridge, en su mecanismo de protección contra repeticiones, solo comprobaba si el hash del compromiso solicitado ya se había utilizado, pero el proceso de verificación de la prueba no vinculaba la carga útil de la solicitud enviada con la prueba que se estaba validando.
Esta brecha lógica permitió al atacante reutilizar una prueba válida previamente aceptada, emparejándola con una nueva solicitud maliciosa creada ad hoc, y ejecutar la ruta TokenGateway.onAccept() para realizar una operación ChangeAssetAdmin. Así, transfirió los privilegios de administración y acuñación del contrato DOT envuelto en Ethereum a una dirección bajo su control. Una actualización posterior de Hyperbridge confirmó que la causa raíz residía en la ausencia de validación de entrada para leaf_index < leafCount en la función VerifyProof(), lo que permitió a los atacantes falsificar pruebas de Merkle. En esencia, se trató de una clásica combinación de "ataque de repetición + escalada de privilegios": el atacante no rompió primitivas criptográficas, sino que explotó la fragmentación lógica de la verificación entre diferentes módulos.
Por qué 1 000 millones de DOT solo se tradujeron en 237 000 dólares
El dato más irónico de este ataque es el contraste entre 1 000 millones de tokens y 237 000 dólares. Según Lookonchain, antes de la liquidación, el DOT puenteado cotizaba en torno a 1,22 dólares, lo que teóricamente ofrecía más de 1 200 millones de dólares en potencial de arbitraje.
Sin embargo, el DOT puenteado en Ethereum contaba con una liquidez on-chain extremadamente limitada. El atacante liquidó los 1 000 millones de tokens a través de Odos Router y los pools de liquidez de Uniswap V4, desplomando el precio de 1,22 dólares a prácticamente cero de forma instantánea. El importe acuñado era 2 805 veces superior a la oferta circulante reportada, de unos 356 000 tokens. Este exceso de oferta saturó los pools de liquidez, ya de por sí muy poco profundos, provocando un deslizamiento severo y dejando la mayoría de los tokens recién acuñados sin valor. El atacante podía crear tokens, pero no compradores ni liquidez.
El límite de seguridad entre activos puenteados y nativos
Un hecho clave a aclarar: el objetivo de este ataque fue el contrato DOT puenteado desplegado en Ethereum, no la cadena nativa de Polkadot. El equipo oficial de Polkadot declaró claramente que la vulnerabilidad solo afectaba a los DOT puenteados mediante Hyperbridge hacia Ethereum; los DOT nativos y otros activos dentro del ecosistema Polkadot no se vieron afectados directamente. Hyperbridge es un gateway cross-chain de terceros desarrollado por Polytope Labs, no forma parte de la infraestructura principal oficial de Polkadot.
Esta distinción pone de relieve una paradoja central en la seguridad de los puentes cross-chain: los contratos inteligentes de los activos puenteados se despliegan de forma independiente en la cadena de destino, y sus estándares de auditoría y mecanismos de monitorización pueden diferir de los de la cadena nativa. Los atacantes no necesitan intervenir en la capa de consenso de la cadena principal; basta con explotar una sola vulnerabilidad en el contrato del puente para causar daños generalizados en la cadena de destino. Los usuarios que poseen activos puenteados asumen riesgos no solo derivados de la cadena principal, sino también de la seguridad contractual de la infraestructura del puente.
Ataques a puentes cross-chain: tendencias en 2026
El ataque a Hyperbridge no fue un caso aislado en 2026. Según datos sectoriales, los hacks DeFi en el primer trimestre de 2026 sumaron unas pérdidas de 168 millones de dólares. Aunque esto supone un descenso pronunciado respecto a los aproximadamente 1 580 millones de dólares del primer trimestre de 2025, los riesgos estructurales persisten. En febrero de 2026, el puente CrossCurve perdió unos 3 millones de dólares por una vulnerabilidad en un contrato inteligente; el puente ioTube sufrió más de 4,4 millones de dólares en pérdidas tras la filtración de la clave privada del propietario del contrato validador en Ethereum. Históricamente, los puentes cross-chain han representado más del 60 % de los principales incidentes de seguridad DeFi, manteniéndose como uno de los objetivos más lucrativos para los atacantes.
La firma de investigación de seguridad Sherlock señalaba en su informe sobre seguridad cross-chain a principios de 2026 que los ataques actuales siguen patrones previsibles: las suposiciones de confianza se codifican como garantías deterministas, la autenticación falla en los límites de los mensajes y los sistemas otorgan todos los privilegios a través de una única ruta de ejecución. El incidente de Hyperbridge encaja perfectamente en esta descripción: el contrato asumía que la cadena de seguridad que vinculaba la verificación de pruebas MMR con las solicitudes estaba intacta, pero una brecha lógica en el código invalidó esa suposición.
¿La baja liquidez es un "escudo" o un riesgo mayor?
En este ataque, la baja liquidez actuó objetivamente como un "escudo", limitando el beneficio real del atacante a 237 000 dólares. Si la misma vulnerabilidad hubiera afectado a un activo puenteado con mayor liquidez o valor, las pérdidas podrían haber sido exponencialmente superiores. Esta paradoja de "pérdida limitada pero riesgo extremadamente alto" es uno de los problemas más complejos en la seguridad cross-chain: el sector puede verse engañado por pérdidas puntuales pequeñas y subestimar la amenaza estructural que supone la vulnerabilidad en sí.
Por otro lado, la insuficiente liquidez de los activos puenteados es un problema para la salud del mercado. El DOT puenteado en Ethereum tenía una oferta circulante de apenas 356 000 tokens y pools de liquidez extremadamente poco profundos, lo que significa que, incluso sin ataque, operaciones de gran volumen provocarían un deslizamiento severo y afectarían al uso normal del activo. Aunque la baja liquidez "salvó a Polkadot" en este caso, dejó al descubierto profundas vulnerabilidades en la capa de interoperabilidad cross-chain: los activos puenteados carecen tanto de profundidad de mercado suficiente como de redundancia de seguridad adecuada.
¿Cuál es la contradicción central en la seguridad cross-chain?
El núcleo de los problemas de seguridad de los puentes cross-chain reside en la contradicción fundamental de la "migración de confianza". Un puente cross-chain es esencialmente un "adaptador de seguridad": traduce información de finalidad, membresía y autorización de una cadena en instrucciones fiables para el entorno de ejecución de otra cadena. Cualquier brecha lógica en este proceso de traducción puede ser explotada por atacantes.
El sector se enfrenta a desafíos multifacéticos: el código de los puentes cross-chain es mucho más complejo que el de los contratos inteligentes de una sola cadena, ya que implica la coordinación entre oráculos, relayers, nodos validadores y otros componentes. Muchos proyectos priorizan el "lanzamiento rápido" sobre el "entendimiento profundo del sistema", lo que introduce riesgos de seguridad en las decisiones técnicas. Además, los métodos de seguridad matemáticamente demostrables, como la verificación formal, aún no son estándar en la industria, y la profundidad y frecuencia de las auditorías externas varían considerablemente.
¿Hacia dónde debe evolucionar la seguridad cross-chain?
De este incidente se extraen varias conclusiones claras. Primero, los mecanismos de verificación deben lograr una vinculación de extremo a extremo entre solicitudes y pruebas, eliminando brechas lógicas. Segundo, los protocolos cross-chain deben adoptar el principio de privilegio mínimo y la verificación multifactor como características de diseño básicas, no como añadidos posteriores. Tercero, el sector necesita modelos de confianza más transparentes: los usuarios deben comprender claramente las suposiciones de seguridad y los límites de riesgo al utilizar puentes cross-chain. Por último, las auditorías de seguridad deben evolucionar hacia la verificación formal y la monitorización continua, pasando de "revisiones puntuales" a "protección durante todo el ciclo de vida".
Los puentes cross-chain son infraestructuras críticas para la conexión de ecosistemas multichain, y la mejora de su seguridad influirá directamente en el futuro de la interoperabilidad de Web3. El verdadero valor del incidente de Hyperbridge no reside en la pérdida de 237 000 dólares, sino en su demostración, casi absurda, de una verdad fundamental en la seguridad cross-chain: el poder destructivo de una vulnerabilidad no depende de la ambición del atacante, sino de cuán en serio el diseño del sistema respeta sus propias suposiciones de seguridad.
Resumen
La vulnerabilidad de repetición de prueba MMR en el puente cross-chain Hyperbridge expuso una brecha lógica fundamental en la verificación de protocolos cross-chain: la falta de vinculación entre solicitudes y pruebas. Aprovechando este fallo, el atacante acuñó 1 000 millones de DOT puenteados, pero solo pudo liquidar unos 237 000 dólares debido a la escasez de liquidez en Ethereum. El evento no afectó a la cadena nativa de Polkadot, pero puso de manifiesto la fragilidad estructural de los activos puenteados tanto en auditoría de seguridad como en profundidad de liquidez. Los ataques a puentes cross-chain continuaron en 2026, y el sector debe elevar sistemáticamente los estándares de seguridad en tres áreas: mecanismos de verificación vinculante, minimización de la gestión de privilegios y verificación formal de la seguridad.
Preguntas frecuentes
P: ¿Los 1 000 millones de DOT acuñados en el ataque a Hyperbridge afectarán la oferta total de DOT nativo de Polkadot?
R: No. Los tokens acuñados eran DOT puenteados desplegados en Ethereum por Hyperbridge, es decir, activos envueltos, no DOT nativo en la cadena principal de Polkadot. La oferta total y la seguridad del DOT nativo de Polkadot permanecen completamente intactas.
P: ¿Por qué el atacante solo obtuvo 237 000 dólares en lugar del valor nominal de 1 000 millones de DOT?
R: La razón fundamental es la liquidez on-chain extremadamente limitada del DOT puenteado en Ethereum. Cuando el atacante liquidó los 1 000 millones de tokens, el deslizamiento severo hizo que el precio pasara de 1,22 dólares a casi cero, imposibilitando la monetización de la mayoría de los tokens recién acuñados.
P: ¿Qué es una vulnerabilidad de repetición de prueba MMR?
R: MMR (Merkle Mountain Range) es una variante del árbol de Merkle utilizada habitualmente para la verificación de light clients en blockchain. El problema central en este incidente fue que el contrato HandlerV1 de Hyperbridge carecía de vinculación entre la prueba y la solicitud durante la verificación, lo que permitió al atacante reutilizar pruebas históricas válidas y emparejarlas con nuevas solicitudes falsificadas para eludir la validación y obtener privilegios de administrador.
P: ¿Por qué los puentes cross-chain son objetivos frecuentes de ataques?
R: Los puentes cross-chain ostentan privilegios de gestión sobre los contratos de tokens. Si el mecanismo de verificación falla, los atacantes pueden obtener derechos de acuñación ilimitada o robo de activos. Los puentes implican contratos inteligentes en varias cadenas y coordinación con componentes off-chain, lo que amplía enormemente la superficie de ataque respecto a los protocolos de una sola cadena, convirtiéndolos en objetivos prioritarios para los hackers.
P: ¿Cómo deben evaluar su riesgo los usuarios que poseen DOT puenteado?
R: Los usuarios de activos puenteados deben ser conscientes de que los riesgos provienen tanto de la cadena principal subyacente como de la seguridad contractual de la infraestructura del puente. Se recomienda comprender a fondo el historial de auditoría del protocolo del puente, los volúmenes de activos bloqueados y los incidentes de seguridad previos antes de participar en la provisión de liquidez o mantener activos puenteados.
