El puente Verus–Ethereum ha sido vaciado por segunda vez en aproximadamente dos meses, lo que plantea incómodas preguntas sobre si una vulnerabilidad que ya había sido explotada una vez llegó realmente a solucionarse. La firma de seguridad Blockaid detectó la última explotación del puente Verus Ethereum y confirmó que un atacante abusó de la ruta de importación del puente para activar pagos sin respaldo en el lado de Ethereum, retirando aproximadamente 7,54 millones de dólares en ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD. Todos los activos robados fueron posteriormente convertidos a ETH.
Summary
Puntos clave
- El puente Verus–Ethereum fue explotado dos veces en el lapso de dos meses, con el último robo sumando aproximadamente 7,54 millones de dólares.
- Ambos ataques abusaron de la misma ruta de importación del puente y de la misma clase de vulnerabilidad, activando pagos sin respaldo en el lado de Ethereum.
- La explotación de mayo vació alrededor de 11,5 millones de dólares; el atacante devolvió posteriormente 4.052,4 ETH tras quedarse con una recompensa white-hat del 25%.
- Los fondos recuperados se volvieron a depositar en el puente el 8 de julio, y el puente fue vaciado de nuevo poco después.
- El último ataque fue llevado a cabo por un atacante diferente que utilizó una nueva cartera, según Blockaid.
Segundo exploit golpea el puente Verus–Ethereum en menos de dos meses
Lo que hace que este incidente sea particularmente llamativo no es solo la cantidad robada, sino el momento y la mecánica detrás de él. El puente solo había recibido recientemente de vuelta la mayor parte de los fondos sustraídos en el exploit del 18 de mayo, que había vaciado alrededor de 11,5 millones de dólares. Esos activos recuperados se volvieron a depositar en el mismo puente el 8 de julio. En menos de dos semanas, un segundo atacante golpeó, utilizando el mismo contrato, la misma ruta de entrada y la misma clase de fallo.
Según Blockaid, el último atacante operó desde una nueva cartera y no tenía conexión aparente con el incidente de mayo. Los dos exploits están vinculados no por el actor, sino por la oportunidad: una debilidad estructural no resuelta que permaneció accesible para cualquiera que supiera dónde mirar.
Detalles del último robo de 7,54 millones de dólares
El exploit siguió la misma lógica mecánica que su predecesor. Al manipular la ruta de importación del puente, el atacante obligó al lado de Ethereum del puente a liberar activos reales contra reclamaciones que tenían poco o ningún respaldo en el lado de Verus. El resultado fue un vaciado multi-token: ETH, Bitcoin tokenizado, una variedad de stablecoins como USDC, USDT y EURC, además de MKR y scrvUSD, todo canalizado hacia fuera y rápidamente consolidado en ETH.
Blockaid señaló el ataque en tiempo real, indicando explícitamente que la clase de vulnerabilidad era idéntica a la explotada en mayo. La detección de la firma destacó que se había utilizado el mismo contrato de puente y la misma ruta de entrada, lo que apunta a un fallo que persistió en ambos incidentes.
Comparación con el exploit de mayo y atacantes implicados
El evento de mayo fue mayor en términos de dólares, con pérdidas de aproximadamente 11,5 millones de dólares. Los activos robados en ese momento se convirtieron en aproximadamente 5.402,4 ETH. Lo que siguió fue inusual para el espacio de seguridad cripto: el atacante devolvió 4.052,4 ETH, quedándose con una recompensa white-hat del 25% como compensación por identificar el fallo. El equipo de Verus aceptó el acuerdo, y los fondos devueltos se volvieron a desplegar en el puente el 8 de julio.
Esa decisión ahora parece costosa. Reintroducir liquidez en un sistema sin parchear efectivamente restableció el objetivo. El segundo atacante —una persona diferente, una cartera nueva, pero el mismo manual— explotó la ventana antes de que se implementara cualquier solución estructural, según los datos on-chain disponibles reportados por CoinDesk.
Vulnerabilidad en la ruta de importación del puente permite pagos de ETH sin respaldo
El fallo central es sencillo en concepto, aunque peligroso en la ejecución. Ambos exploits funcionaron porque la ruta de importación del puente podía manipularse para autorizar pagos en el lado de Ethereum sin que los activos correspondientes estuvieran correctamente bloqueados en el lado de Verus. El puente liberó dinero real contra reclamaciones que valían casi nada.
Este tipo de fallo lógico —en el que el código se ejecuta tal como está escrito pero las propias reglas permiten que los fondos salgan— es distinto de una ruptura criptográfica. No se rompió ningún cifrado. El sistema fue engañado a través de su propia lógica interna.
Naturaleza del exploit y clase de vulnerabilidad común
Blockaid confirmó que ambos ataques compartían la misma clase de vulnerabilidad. Esto es significativo: significa que el fallo no se parcheó entre mayo y julio, y que la redeposición de fondos el 8 de julio efectivamente recargó un puente que aún tenía una debilidad conocida y documentada.
La implicación más amplia para la infraestructura cross-chain es difícil de ignorar. La seguridad de un puente depende por completo de la integridad de su mecanismo de verificación, el proceso que confirma que cada retirada en un lado está realmente respaldada por activos bloqueados en el otro. Cuando ese mecanismo tiene un fallo conocido y los fondos se vuelven a desplegar sin una solución confirmada, el sistema no se está recuperando. Está esperando.
Impacto de los fallos no resueltos en la seguridad de los puentes
Según datos citados por CoinDesk de DefiLlama, Verus tenía cerca de 100 millones de dólares en valor total bloqueado a comienzos de 2025. En el momento del último exploit, esa cifra había caído a alrededor de 9 millones de dólares, una erosión lenta que se aceleró bruscamente con los dos hackeos.
Esa trayectoria importa más allá de las cifras brutas de pérdidas. Cada exploit no solo elimina el monto robado; también indica a los proveedores de liquidez y a los usuarios que el sistema puede no ser seguro para interactuar con él. El drenaje de confianza se suma al drenaje de activos.
Esfuerzos de recuperación y redepliegue de fondos
El incidente de mayo produjo uno de los resultados más inusuales en la historia reciente de la seguridad cripto. Tras vaciar el puente y convertir los activos en aproximadamente 5.402,4 ETH, el atacante devolvió 4.052,4 ETH, quedándose con el 25% como tarifa white-hat. El equipo de Verus aceptó esta recuperación parcial, y los fondos devueltos se volvieron a depositar formalmente en el puente el 8 de julio, según los registros on-chain recopilados por investigadores de seguridad.
Los acuerdos white-hat de este tipo no son infrecuentes en DeFi. Ofrecen una vía pragmática hacia una recuperación parcial cuando la aplicación legal es difícil y los atacantes son anónimos. Pero conllevan una suposición implícita: que la vulnerabilidad identificada por el atacante será abordada antes de que los fondos recuperados regresen al sistema.
En este caso, esa suposición parece haber sido errónea. La misma ruta de entrada y la misma clase de vulnerabilidad que permitió el robo de mayo siguieron disponibles después de que los fondos se redepositaran, y un segundo atacante no relacionado la encontró en menos de dos semanas.
Qué significa esto para la seguridad de los puentes de Ethereum
La situación de Verus es una ilustración extrema de un patrón que se está ampliando en toda la infraestructura cross-chain. En una ventana de seis horas el mismo día del último exploit de Verus, al menos otros dos protocolos también fueron vaciados en incidentes separados, por un total combinado que supera los 35 millones de dólares en todas las plataformas afectadas, según la cobertura de CoinDesk sobre datos de blockchain evaluados por BlockAid y Peckshield. Ninguno de estos ataques rompió la criptografía subyacente. Cada uno fue o bien un fallo lógico o un permiso comprometido, categorías de vulnerabilidad que las auditorías pueden pasar por alto y que a menudo persisten silenciosamente hasta que alguien con el conocimiento adecuado actúa.
El caso de Verus añade una lección más dura: recuperar fondos de un exploit y reinsertarlos en un sistema sin parchear no restaura la seguridad. Restaura la exposición. Para los usuarios y proveedores de liquidez que evalúan puentes cross-chain, la pregunta ya no es solo si un puente ha sido auditado, sino si las vulnerabilidades identificadas han sido remediadas de forma verificable antes de que el capital vuelva a fluir.
Preguntas frecuentes
¿Cuál fue la causa de los exploits del puente Verus–Ethereum?
Ambos exploits abusaron de la ruta de importación del puente, activando pagos sin respaldo en el lado de Ethereum debido a la misma clase de vulnerabilidad. El puente liberó activos reales contra reclamaciones que no estaban debidamente respaldadas en el lado de Verus.
¿Cuánto se robó en el exploit reciente del puente Verus–Ethereum?
Se vaciaron aproximadamente 7,54 millones de dólares en varios tokens —incluidos ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD— que posteriormente se convirtieron en ETH.
¿Se perdieron por completo los fondos del hackeo anterior?
No. El atacante de mayo devolvió 4.052,4 ETH tras quedarse con una recompensa white-hat del 25%. Esos fondos se volvieron a depositar en el puente el 8 de julio, antes de que ocurriera el segundo exploit.
¿El exploit actual fue llevado a cabo por el mismo atacante que antes?
No. Según Blockaid, el último ataque fue llevado a cabo por un atacante diferente que utilizó una nueva cartera, sin conexión aparente con el incidente de mayo.
{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[{«@type»:»Question»,»name»:»¿Cuál fue la causa de los exploits del puente Verus–Ethereum?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Ambos exploits abusaron de la ruta de importación del puente, activando pagos sin respaldo en el lado de Ethereum debido a la misma clase de vulnerabilidad. El puente liberó activos reales contra reclamaciones que no estaban debidamente respaldadas en el lado de Verus.»}},{«@type»:»Question»,»name»:»¿Cuánto se robó en el exploit reciente del puente Verus–Ethereum?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Se vaciaron aproximadamente 7,54 millones de dólares en varios tokens —incluidos ETH, tBTC, USDC, USDT, EURC, MKR y scrvUSD— que posteriormente se convirtieron en ETH.»}},{«@type»:»Question»,»name»:»¿Se perdieron por completo los fondos del hackeo anterior?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»No. El atacante de mayo devolvió 4.052,4 ETH tras quedarse con una recompensa white-hat del 25%. Esos fondos se volvieron a depositar en el puente el 8 de julio, antes de que ocurriera el segundo exploit.»}},{«@type»:»Question»,»name»:»¿El exploit actual fue llevado a cabo por el mismo atacante que antes?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»No. Según Blockaid, el último ataque fue llevado a cabo por un atacante diferente que utilizó una nueva cartera, sin conexión aparente con el incidente de mayo.»}}]}
Artículo producido con la asistencia de inteligencia artificial y revisado por el equipo editorial.
