Dos puentes de Ethereum pierden $31,69M; B² detiene recompensas

Dos puentes conectados a Ethereum perdieron un total combinado de $31,69 millones con pocas horas de diferencia, y un tercer protocolo, B² Network, suspendió el staking de tokens tras detectar un acceso no autorizado a su autoridad de actualización.

El puente AFX en Arbitrum recibió el primer golpe. Blockaid alertó sobre el ataque a las 21:30 UTC del 22 de julio. Una única transacción en Arbitrum movió 24,15 millones de USDC fuera del puente operado por AFX, un protocolo de trading descentralizado. AFX suspendió inmediatamente su puente de custodia de USDC y subrayó que el incidente se limitó a un puente de terceros, no a su propia infraestructura de trading, su red principal o el puente nativo de Arbitrum.

En los hallazgos preliminares publicados el 24 de julio, AFX atribuyó el ataque a una "ingeniería social coordinada y un compromiso de la infraestructura". Los atacantes parecieron comenzar en un entorno de desarrollo, para luego infiltrarse en la infraestructura de compilación interna y los sistemas de validadores. AFX dijo que está verificando los saldos, trabajando en la recuperación de los fondos y preparando una solución. Hasta el 24 de julio, no había anunciado ninguna devolución completa de fondos ni un plan de compensación finalizado.

Horas después del incidente de AFX, una transacción en Ethereum mostró que el puente Verus liberó 1.137,45 ETH más siete transferencias de tokens. Blockaid valoró los pagos sin respaldo en aproximadamente $7,54 millones. El análisis de SlowMist encontró que el puente aprobó ocho retiros sin pruebas de que estuvieran respaldados por activos correspondientes. La firma vinculó el fallo a la misma clase general de validación de importación entre cadenas que un ataque de mayo, pero dijo que los dos ataques utilizaron mecánicas diferentes.

El incidente de B² Network no fue un ataque a un puente. La red informó que alguien obtuvo acceso no autorizado a la autoridad de actualización de su contrato de staking. B² suspendió el staking normal durante las revisiones de seguridad, afirmó que el problema fue contenido y prometió una compensación total a los usuarios afectados. No se había documentado ninguna restitución hasta el 24 de julio. B² también ofreció una ruta de retiro manual: los usuarios pueden solicitar el retiro a través de su Discord oficial, y las solicitudes con propiedad verificada se procesan en un día hábil. La red no reveló el monto de las pérdidas, por lo que ese incidente se excluye del total de pérdidas de puentes de $31,69 millones.

Los tres eventos ocurrieron durante un período de mayor escrutinio sobre la infraestructura entre cadenas. Para los traders, los puntos a seguir de inmediato son la verificación de saldos y cualquier plan de compensación de AFX, y si B² reanudará el staking normal o extenderá el proceso de salida manual. El ataque al puente Verus también plantea interrogantes sobre cuántos otros proyectos dependen de la misma lógica de validación de importación.