Hackeo de puentes

La mayoría de los puentes bloquean tokens en una cadena y emiten una versión envuelta en otra, así que el contrato de bloqueo acumula un gran fondo de activos reales. Quien convence al puente de que hubo un depósito, o puede firmar por sus validadores, libera o emite fondos que nunca se depositaron. Por eso los puentes están entre los objetivos más valiosos del sector.

Varios de los mayores hackeos de la historia cripto fueron a puentes. En marzo de 2022, atacantes vinculados al grupo norcoreano Lazarus se hicieron con cinco de las nueve claves de validación del puente Ronin y retiraron unos 600 millones de dólares. Wormhole perdió 120.000 ETH envueltos en febrero de 2022 por un fallo en la verificación de firmas; Nomad fue vaciado en agosto de 2022 tras una actualización que permitía a cualquiera repetir un mensaje válido, y el puente Horizon de Harmony cayó en junio de 2022 al comprometerse una multisig 2 de 5.

La lección común es que un puente es tan seguro como su verificación. Los conjuntos pequeños de validadores, los operadores compartidos y los contratos actualizables concentran el riesgo; los diseños basados en clientes ligeros o pruebas lo reducen a un coste mayor. Tras un hackeo, los tokens envueltos pueden quedarse sin respaldo de un día para otro.