Tres exploits de "infinimint" en puentes cripto en diez días muestran que los puentes entre cadenas son el agujero de seguridad irresoluble de las criptomonedas, y las auditorías no pueden salvarlos.
Los exploits en puentes cripto son un defecto de diseño, no mala suerte
Puntos clave
- Tres ataques a puentes "infinimint" ocurrieron en diez días este octubre: Initia ($2.7M), Cysic ($727K) y THEO de Autheo (~$1.76M).
- Cada uno siguió la misma receta: acuñar tokens sin respaldo en una cadena y trasladar activos reales antes de que alguien reaccione.
- Las auditorías no ayudaron. Autheo había sido revisado por Halborn, CertiK y Avelar Labs y aún así fue vaciado.
- Un puente es una máquina de acuñación envuelta en código. El código tiene errores. Ese es un problema de diseño, no una racha de mala suerte.
- Hasta que los puentes estén colateralizados, asegurados o reemplazados, cada token puenteado es una promesa sin respaldo.
En el transcurso de diez días en octubre, tres blockchains fueron robadas con el mismo truco exacto: acuñar tokens de la nada y luego marcharse con el dinero real. Initia (https://initia.xyz) perdió aproximadamente $2.7 millones el 23 de octubre. Cysic perdió unos $727,000 el 17 de octubre. El token THEO de Autheo (https://autheo.com) fue drenado por alrededor de $1.76 millones el 13 de octubre. Tres equipos diferentes, tres bases de código diferentes, un fallo idéntico. Estos exploits de puentes cripto no son una racha de mala suerte. Son un defecto de diseño en el que la industria ha pasado cinco años insistiendo en que podría resolverlo mediante ingeniería.
Qué ocurrió realmente
Initia, una capa 1 basada en MoveVM que ejecuta una red de rollups entrelazados, fue el mayor éxito. Un atacante explotó un error de caché de scripts en su MoveVM — la máquina virtual en sí, no alguna aplicación escrita apresuradamente — para falsificar el estado de la cadena y acreditarse con WETH, iUSD y USDC que nunca estuvieron respaldados por un depósito. Luego, transfirió aproximadamente $2.7 millones a través de LayerZero y Noble/CCTP antes de que la cadena se detuviera a las 15:41:30 UTC.
El detalle que debería aterrarte: Bitquery, la firma de análisis on-chain, descubrió que la reserva de USDC del puente cayó de aproximadamente $1.09 millones a $63 en una sola tarde. Los saldos falsos del atacante sumaron alrededor de $7.48 millones, pero solo pudieron extraer unos $3 millones, porque la reserva literalmente se agotó. Las pérdidas restantes recayeron sobre los usuarios honestos cuyos retiros simplemente dejaron de procesarse. Tenían IOUs (pagarés), y la bóveda detrás de esos IOUs estaba vacía.
Cysic, un proyecto de hardware de cero conocimiento, fue atacado el 17 de octubre a través de una puerta diferente: una base de datos de soporte comprometida combinada con una falla en la forma en que el puente procesaba los mensajes de "mint". El atacante falsificó 10 millones de tokens CYS en la BNB Chain y puenteó aproximadamente 306.6 ETH a Ethereum. La fundación congeló 2.8 millones de tokens y ofreció una recompensa del 10%. El atacante rechazó la oferta, luego envió 300 ETH y 30.4 BNB a Tornado Cash.
Autheo fue lo más cinematográfico. El 13 de octubre, alguien acuñó millones de tokens THEO en Base a través de una supuesta vulnerabilidad en el puente Hyperlane —un investigador lo estimó en 119 millones, aproximadamente el 70% del suministro—, los intercambió por unos 700 ETH y los vendió. El token se desplomó en horas. Luego, el atacante hizo algo extraño: envió aproximadamente 1 millón de dólares en valor de THEO a la billetera de un desconocido, un movimiento que parece menos generosidad y más un intento deliberado de manchar la dirección de un inocente y oscurecer la atribución.
¿Por qué las auditorías no detectaron esto?
El caso Autheo es el golpe definitivo contra la defensa favorita de las criptomonedas. Este proyecto había sido revisado por Halborn, CertiK y Avelar Labs, tres firmas de seguridad reconocidas. Aun así, fue vaciado. Ese es el punto principal. Las auditorías encuentran patrones de errores conocidos en rutas de código conocidas. No corrigen un modelo estructuralmente defectuoso. Cuando la vulnerabilidad reside en la lógica de caché de la máquina virtual (Initia) o en el middleware de procesamiento de mensajes del puente (Cysic, Autheo), ninguna revisión de contratos inteligentes la habría detectado. El distintivo de "fuimos auditados" es un activo de marketing, no una garantía de seguridad.
El panorama general: los puentes son la pared de carga
Aleja la vista y cada uno de estos ataques comparte una primitiva única: la función de acuñación. Un puente funciona bloqueando el activo real A en la cadena X y acuñando un recibo en la cadena Y. Ese recibo es la promesa del puente. Rompe la acuñación —o la lógica que decide cuándo se permite la acuñación— y puedes crear la promesa sin realizar nunca el depósito. Esa no es una idea novedosa. Es la misma invariante económica que los bancos llaman riesgo de solvencia. La diferencia es que un banco tiene capital, seguros y reguladores. Un puente tiene un contrato inteligente y una esperanza.
Esto importa porque el multicanal es el futuro declarado de las criptomonedas, y los puentes son su muro de carga. La abstracción de cadena, el restaking, los cientos de nuevas L2 y L3 —todos asumen que los activos pueden moverse libremente entre cadenas. Ese movimiento se ejecuta mediante puentes. Y la presión de seguridad no se está aliviando: Chainalysis (https://www.chainalysis.com) estima que los grupos vinculados a Corea del Norte han robado más de $1 mil millones solo en 2026, con el hackeo de Bitget de septiembre revisado al alza a $387.5 millones. Los atacantes profesionales no están adivinando. Han industrializado la búsqueda de exactamente estos errores de acuñación y drenaje.
¿Quién gana y quién pierde?
Es fácil nombrar a los perdedores. Los usuarios honestos que poseían activos puenteados absorbieron la diferencia entre los saldos falsos y reales en Initia. Los propios proyectos quemaron meses de credibilidad en una noche. Y la narrativa de que "auditado = seguro" recibió otro duro golpe.
Los ganadores son menos evidentes. Las arquitecturas que no requieren puentes — emisión nativa, liquidación basada en intenciones, rollups de una sola capa de liquidación — acaban de recibir una venta gratuita. Las empresas de seguridad y las aseguradoras obtienen un mandato más amplio. Y los atacantes demostraron, por tercera vez en diez días, que este es el exploit de alto rendimiento más barato en cripto.
La consecuencia de segundo orden es más silenciosa pero mayor: la historia de la "abstracción de cadena" — la idea de que los usuarios no deberían tener que saber en qué cadena están — ahora conlleva una responsabilidad oculta. Cada capa que oculta un puente al usuario también oculta el riesgo de solvencia del puente. La abstracción es una victoria en UX y una pesadilla en la gestión de riesgos.
¿Ha ocurrido esto antes?
Sí, y 2022 fue el año en que los puentes fueron al matadero: Ronin ($625 millones), Wormhole ($325 millones), Nomad ($190 millones). Chainalysis ha clasificado durante mucho tiempo a los puentes como el objetivo de ataque de mayor valor, y las pérdidas totales en puentes entre 2021 y 2024 superaron los $2.5 mil millones. Lo diferente ahora es dónde se producen los ataques. Ronin fue un trabajo de ingeniería social contra validadores. Wormhole y Nomad fueron errores lógicos en contratos inteligentes. Initia fue un error en la propia máquina virtual, y Cysic y Autheo fueron errores en el middleware del puente. La industria parcheó las capas superiores del stack, así que los atacantes simplemente descendieron, donde el código es más nuevo, más complejo y menos examinado.
¿Dónde encaja esto en los próximos tres años?
Tres predicciones. Primero, el "infinimint" — acuñar tokens sin respaldo y drenar la reserva — se convertirá en el ataque de puente por defecto, porque no requiere compromiso de claves y escala con lo que contenga el puente. Segundo, los puentes se tratarán como los intermediarios financieros que son funcionalmente: se espera que la atestación de reservas, la prueba de solvencia y los mandatos de seguros pasen de ser adornos de marketing a requisitos básicos, posiblemente impulsados por los reguladores. Tercero, las arquitecturas ganadoras dejarán de hacer puentes. La emisión nativa de stablecoins en cada cadena, la liquidación basada en intenciones donde los solucionadores compiten para llenar la orden de un usuario sin un puente de acuñación en el medio, y los rollups que comparten una capa de liquidación base irán comiéndose gradualmente el mercado de los puentes. Los puentes no morirán. Pero serán degradados de infraestructura por defecto a una plomería especializada y colateralizada.
La perspectiva del trader
Esto no trata de hacia dónde sube o baja el precio de cualquier token. Se trata de dónde se encuentra tu dinero. Considera los "activos estancados dentro de un contrato puente" como una categoría de riesgo propia, separada del propio protocolo. Donde la liquidez lo permita, prefiere los activos nativos o emitidos directamente sobre las versiones envueltas y puenteadas, porque el token envuelto hereda la solvencia del puente que lo emitió. Presta atención a los proyectos que publican pruebas de reservas en tiempo real o que cuentan con seguros de terceros; esos son los que tratan un puente como un banco en lugar de un contrato inteligente. Y ten en cuenta el "regalo" de Autheo a una billetera aleatoria: es un ataque de atribución, diseñado para ralentizar a las fuerzas del orden y crear una negación plausible. Espera que se repita.
La factura llegó a su vencimiento
El próximo hackeo de criptomonedas de nueve cifras probablemente no será un error con las claves privadas ni una manipulación de oráculos mediante préstamos flash. Será alguien acuñando mil millones de dólares en IOUs a través de la función de acuñación de un puente y escapando antes de que se vacíe la reserva. La incómoda verdad es que cinco años de "auditorías, auditorías, auditorías" no han cerrado la brecha, porque la brecha no está en el código. Está en el concepto. Construimos toda una economía multicanal sobre la suposición de que una máquina de acuñación podría asegurarse con suficiente cobertura de pruebas. Octubre de 2026 fue el vencimiento de la factura. La única pregunta es si la industria lee la factura antes de que llegue la siguiente.
FAQ
¿Qué es una vulnerabilidad de "infinimint" en un puente? Es un ataque en el que alguien acuña tokens ilimitados sin respaldo en una cadena y los traslada como activos reales. El término proviene de la descripción del analista on-chain Spreek sobre el hackeo de Initia: el atacante "creó tokens transferibles en Initia sin respaldo y los trasladó de vuelta, vaciando el contrato del puente".
¿Por qué los puentes entre cadenas siguen siendo hackeados? Un puente debe acuñar un token recibo cada vez que se bloquea un activo. Si un atacante rompe la lógica que protege esa acuñación, puede crear recibos sin depósitos y canjear por colateral real. Eso es una falla de solvencia, no solo un error de seguridad, y es inherente a cómo funcionan los puentes.
¿Previenen las auditorías los hackeos de puentes? No de forma fiable. Autheo había sido auditado por Halborn, CertiK y Avelar Labs antes de su exploit de octubre de 2026 y aún así fue vaciado. Las auditorías detectan patrones de errores conocidos en el código revisado; no corrigen un modelo estructuralmente defectuoso ni detectan errores en la capa de caché de una máquina virtual.
¿Están seguros mis activos en el puente? Cualquier token que cruce un puente conlleva el riesgo de solvencia de ese puente. Los activos nativos no. Siempre que sea posible, prefiere activos nativos o emitidos directamente en lugar de versiones envueltas o puenteadas, y favorece a los proyectos que publican pruebas de reservas en tiempo real.
¿Qué lo soluciona realmente? La emisión nativa, la liquidación basada en intenciones y los puentes colateralizados o asegurados, además de tratar a los operadores de puentes como intermediarios financieros sujetos a atestación de reservas. La solución a largo plazo es tener menos cosas que puentear, no mejores puentes.