El puente Verus vuelve a caer: 7,54 millones robados por el mismo fallo que ya lo desangró en mayo
Un déjà vu de 7,54 millones de dólares
El 23 de julio de 2026, hacia las 03:45 UTC, el puente que conecta la red Verus con Ethereum perdió unos 7,54 millones de dólares en un puñado de transacciones. El atacante se llevó una cesta de siete activos: 1.137 ETH como pieza principal, además de tBTC, USDC, USDT, EURC, MKR y scrvUSD. Nada especialmente sofisticado en la ejecución. Lo inquietante es que ya habíamos visto esta película.
El 18 de mayo, el mismo puente sufrió una brecha de la misma familia. Aquella vez hubo final relativamente amable: tras negociar, el atacante devolvió 4.052,4 ETH (unos 8,5 millones de dólares) y se quedó 1.350 ETH como recompensa pactada. Dos meses después, el agujero seguía ahí.
Qué es un puente y por qué es un objetivo goloso
Un puente (bridge) es la infraestructura que permite mover valor entre dos blockchains que, por diseño, no se hablan entre sí. El mecanismo típico: bloqueas un activo en la cadena A y el puente libera su equivalente en la cadena B. Todo depende de que ese bloqueo y esa liberación cuadren siempre. Si alguien consigue que el puente pague en B sin que exista el bloqueo correspondiente en A, imprime dinero de la nada.
Eso es justo lo que ocurrió. Según el análisis de la firma de seguridad Blockaid, la función submitImports del contrato aceptaba reclamaciones de importación sin comprobar que hubiera valor bloqueado en el lado de Verus. El puente soltó reservas reales contra activos que no existían. La operación pasó por el contrato del bridge (0x715…D7F63), con una cuenta atacante (0xBda…855c) y una cartera receptora (0xCF…42D54). Después, el botín se consolidó en unos 3.916 ETH a través de exchanges descentralizados y una parte se lavó vía Tornado Cash.
Por qué importa
Los puentes son, desde hace años, el punto más frágil del ecosistema cripto: concentran mucho valor en un solo contrato y arrastran una superficie de ataque enorme. Solo esa semana, además de Verus, cayeron AFX Trade (24,15 millones en USDC) y Wanchain (10 millones), en los tres casos por fallos de infraestructura de bridging. En lo que va de 2026 el sector acumula más de 750 millones de dólares en pérdidas.
Pero el caso Verus tiene un matiz que va más allá de la cifra. No fue un vector nuevo. Fue el mismo del que ya habían sido víctimas. Y en el momento de la publicación, el equipo de VerusCoin aún no había emitido un comunicado. Cuando un fallo conocido sigue abierto meses después, el problema deja de ser técnico y pasa a ser de gobernanza y de confianza.
Qué podemos aprender
Primero: un post-mortem sin remediación verificada no cierra nada. Devolver fondos y pactar una recompensa resuelve el titular, no la vulnerabilidad. Segundo: el software de puentes necesita auditorías continuas y, sobre todo, validación de invariantes, es decir, comprobar que la regla básica (nunca liberar sin bloqueo equivalente) se cumple siempre, no solo en el camino feliz. Tercero, para el usuario: los puentes no son cajas fuertes. Conviene no dejar valor aparcado en ellos más tiempo del imprescindible y desconfiar de protocolos que ya han sido vulnerados y no han demostrado públicamente que el agujero está cerrado.
La segunda brecha de Verus no es una anécdota, es un recordatorio incómodo: en seguridad, un fallo que no se corrige del todo es un fallo que volverá. La economía digital se construye sobre confianza, y la confianza no se negocia con el atacante de turno: se gana cerrando la puerta y enseñando que está cerrada.
FUENTES
• Crypto Times, resumen semanal de exploits (Verus, AFX Trade, Wanchain): https://www.cryptotimes.io/2026/07/26/crypto-loses-over-47m-in-a-week-as-afx-trade-wanchain-verus-get-hacked/
• CCN, seguimiento de hacks DeFi 2026: https://www.ccn.com/education/crypto/defi-hacks-exploits-causes-crypto-stolen-2026/
Fdo. Lautaro Enrique
C4E Friend I Security Analist & Networking
