La expansión del ecosistema blockchain hacia un entorno multi-chain ha generado una demanda creciente de infraestructura que permita la transferencia de activos e información entre redes heterogéneas. Los puentes cross-chain se han consolidado como la solución predominante para esta necesidad de interoperabilidad.
Sin embargo, el historial de incidentes de seguridad asociados a esta categoría de protocolos revela una contradicción estructural: la misma arquitectura que posibilita la conectividad introduce vectores de ataque que los sistemas monolíticos no presentan.
La magnitud del problema puede dimensionarse a partir de los datos agregados. Según DefiLlama, en 2026 se han registrado 250 ataques a protocolos DeFi, con pérdidas aproximadas de 1.400 millones de dólares. Esta cifra, aunque significativa, representa una reducción respecto a los 2.700 millones de dólares perdidos en 146 incidentes durante 2025.
Lo que resulta particularmente revelador es la concentración de valor en ataques dirigidos a puentes: entre febrero y mayo de 2026, se produjeron al menos ocho incidentes de seguridad relevantes contra este tipo de infraestructura, con un total sustraído de 328,6 millones de dólares. Esta cifra no incluye ataques posteriores, como el ocurrido en julio contra Allbridge Core.
El caso Kelp DAO y la falla de configuración
El incidente más significativo de 2026 en términos de volumen fue el ataque a Kelp DAO. El 18 de abril, un atacante drenó aproximadamente 116.500 rsETH, valorados en 293 millones de dólares, mediante la explotación de un puente construido sobre LayerZero.
El vector de ataque no fue una vulnerabilidad en el código del contrato inteligente, sino una configuración deficiente del mecanismo de verificación. Kelp DAO había implementado una configuración de Verificador Descentralizado (DVN) 1-de-1, lo que significa que un único validador era responsable de autorizar las transferencias.
LayerZero, por su parte, sostuvo que había advertido contra este tipo de configuración. Sin embargo, datos de Dune Analytics revelan que, al momento del ataque, el 47% de aproximadamente 2.665 aplicaciones basadas en LayerZero operaban con la misma configuración de verificador único.
Esta discrepancia entre la recomendación oficial y la configuración por defecto adoptada por la mayoría de los proyectos plantea interrogantes sobre la responsabilidad compartida entre los proveedores de infraestructura y los equipos de desarrollo que la implementan.
Chainalysis confirmó posteriormente que el ataque no se originó en un bug de contrato inteligente, sino en un compromiso fuera de la cadena. Esta distinción es relevante porque desplaza el foco de atención desde la corrección de código hacia la gestión de claves y la configuración de permisos.
El patrón observado en Kelp DAO no es aislado
Gravity Bridge, un protocolo de puente que conecta el ecosistema Cosmos con Ethereum, sufrió un ataque el 30 de mayo de 2026 que resultó en la sustracción de aproximadamente 5,4 millones de dólares.
Los activos sustraídos incluyeron 4,3 millones de USDC, 274 WETH, 434.000 USDT y 64.000 dólares en PAYG. El contrato en el lado de Ethereum quedó con un saldo residual de aproximadamente 85.000 dólares.
El análisis posterior al incidente indicó que se trató de un compromiso de la clave de firma del validador, no de una explotación del contrato en sí.
El atacante redujo el conjunto de validadores activos de 58 a 34 miembros y luego procedió a retirar fondos mediante llamadas submitBatch autorizadas.
Este caso ilustra cómo la seguridad de un puente puede quebrarse sin necesidad de explotar vulnerabilidades en el código, simplemente mediante la compromisión de las credenciales que autorizan las operaciones.
Allbridge Core y los ataques con flash loan
El 19 de julio de 2026, Allbridge Core fue explotado en la red Solana, con pérdidas estimadas en 1,65 millones de dólares. El atacante utilizó un flash loan de 1,12 millones de dólares a través del protocolo Kamino, realizó intercambios rápidos entre USDC y USDT para distorsionar las proporciones internas del pool de stablecoins, y luego retiró activos a tasas de cambio manipuladas antes de repagar el préstamo en la misma transacción.
Lo que hace particularmente notable este incidente es que Allbridge había sufrido un ataque similar en 2023, tras el cual la empresa había implementado una arquitectura de pool único por cadena diseñada precisamente para prevenir este tipo de manipulación en una sola transacción.
El pool comprometido en 2026 operaba con USDC y USDT lado a lado en Solana, una configuración que el parche anterior pretendía eliminar.
Este caso demuestra que las medidas correctivas pueden ser insuficientes o mal implementadas, y que los ataques tienden a reciclar vectores conocidos cuando las defensas no se aplican de manera consistente.
Los puentes cross-chain presentan una superficie de ataque significativamente mayor que los protocolos que operan dentro de una única cadena. Esta complejidad estructural se manifiesta en múltiples dimensiones:
- En primer lugar, el componente de mensajería. Los puentes deben transmitir información entre cadenas que no comparten un estado global. Esto requiere sistemas de oráculos, relés o verificadores que autentiquen y transmitan mensajes. El caso de Verus-Ethereum Bridge, que perdió 11,58 millones de dólares en mayo de 2026, ejemplifica esta vulnerabilidad. El atacante explotó una validación insuficiente del monto de origen en la lógica Solidity del puente, lo que permitió que un mensaje de transferencia falso se ejecutara como válido. Blockaid, la firma de seguridad que detectó el ataque, señaló que no se trató de un bypass de ECDSA ni de un compromiso de clave de notario, sino de una falla en la lógica de validación de entrada.
- En segundo lugar, el componente de custodia. Los puentes que operan mediante el modelo «lock-and-mint» deben custodiar activos en la cadena origen mientras se emiten representaciones en la cadena destino. Esta concentración de valor en contratos inteligentes crea un incentivo económico descomunal para los atacantes. Según Sherlock, los ataques a vulnerabilidades cross-chain en 2026 siguen patrones predecibles: suposiciones de confianza codificadas como garantías de seguridad, fallos en la autenticación de los límites de mensajes, y sistemas que otorgan permisos completos a través de una única ruta.
- En tercer lugar, el componente de configuración. El ataque a Kelp DAO demuestra que incluso cuando el protocolo subyacente es técnicamente sólido, una configuración insegura puede anular todas las garantías de seguridad. La decisión de utilizar un único verificador, aunque permitida por LayerZero, constituyó un punto único de fallo que resultó catastrófico.
El problema de la confianza minimizada
La mayoría de los puentes cross-chain operan bajo algún modelo de confianza minimizada en lugar de confianza cero.
Esto significa que delegan la verificación de las transferencias a un conjunto de validadores, oráculos o firmantes. La seguridad del puente depende entonces de la integridad y disponibilidad de estos actores externos. Este modelo de confianza minimizada introduce un riesgo sistémico que no existe en los protocolos que operan dentro de una única cadena.
Si un validador es comprometido, o si un número suficiente de validadores colude o es cooptado, el puente puede ser drenado. Los ataques a Gravity Bridge y Alephium TokenBridge (que perdió 815.000 dólares cuando el atacante controló 3 de 4 claves de guardianes) son ejemplos concretos de esta vulnerabilidad estructural.
La consecuencia más inmediata del ataque a Kelp DAO fue una migración masiva de activos desde LayerZero hacia Chainlink CCIP. Kelp DAO se convirtió en el primer protocolo importante en abandonar LayerZero tras el exploit. Le siguieron Lombard Finance, que trasladó más de 1.000 millones de dólares en activos respaldados por Bitcoin, y Solv Protocol, que migró 700 millones de dólares.
En total, se estima que aproximadamente 40.000 millones de dólares en activos han sido transferidos o están en proceso de migración desde LayerZero hacia Chainlink CCIP. Chainlink CCIP ofrece un modelo de seguridad fundamentalmente diferente. Requiere un mínimo de 16 operadores de nodos independientes por «carril» de comunicación, más una Red de Gestión de Riesgos separada.
Este enfoque de defensa en profundidad pretende eliminar los puntos únicos de fallo que caracterizan a las configuraciones con verificadores únicos. CCIP ha obtenido la certificación SOC 2 Tipo 2 y ha procesado más de 30 billones de dólares en valor de transacciones.
Sin embargo, esta migración no debe interpretarse como una solución definitiva al problema de la seguridad de los puentes. Simplemente traslada el riesgo de un modelo de verificación a otro. Ninguna arquitectura es inmune a fallos de implementación o configuración.
La industria se enfrenta a un trade-off fundamental entre interoperabilidad y seguridad. Los puentes cross-chain son actualmente la única solución práctica para transferir valor entre ecosistemas blockchain heterogéneos, pero su arquitectura inherentemente compleja genera vectores de ataque que los protocolos monolíticos no presentan.
Las lecciones extraídas de los incidentes de 2025-2026 son claras
- En primer lugar, la seguridad de los puentes no puede delegarse exclusivamente en el proveedor de infraestructura; los equipos de desarrollo deben asumir la responsabilidad de configurar correctamente los mecanismos de verificación y de auditar no solo el código, sino también los parámetros operativos.
- En segundo lugar, el compromiso de claves se ha consolidado como el vector de ataque más efectivo y menos detectable, lo que exige estándares más rigurosos de gestión de claves y segregación de privilegios.
- En tercer lugar, los ataques recurrentes a Allbridge demuestran que las soluciones parcheadas pueden ser insuficientes si no se implementan de manera integral.
El desarrollo de soluciones de confianza cero para la interoperabilidad cross-chain, como los puentes basados en pruebas de conocimiento cero o en clientes ligeros, representa una dirección prometedora pero todavía incipiente.
Mientras estas tecnologías maduran, la industria debe operar con la premisa de que todo puente cross-chain es, por definición, un vector de ataque potencial, y gestionar los riesgos en consecuencia.
