En seis horas, tres protocolos fueron vaciados por más de 35 millones de dólares. El detalle que merece más atención que cualquier cifra es este: en ninguno de los tres casos se vulneró la criptografía. El código matemático que protege las blockchains funcionó a la perfección, exactamente como fue diseñado.
Lo que falló fue todo lo demás. Y es una lección que el sector se niega a aprender, porque resulta mucho menos reconfortante que un simple fallo técnico.
Qué ocurrió en la noche del 22 al 23 de julio
En la noche del 22 al 23 de julio se produjeron tres ataques distintos y aparentemente no relacionados. El más grave afectó a AFX, una plataforma de derivados descentralizada que opera sobre Arbitrum, por unos 24,15 millones de dólares, según datos de Blockaid y Lookonchain. Pocas horas después le tocó al bridge entre Verus y Ethereum, vaciado de unos 7,54 millones en ether, bitcoin tokenizado y varias stablecoins. Por último, B² Network perdió aproximadamente 3,86 millones.
Tres ataques, seis horas, 35 millones
Pérdidas estimadas por protocolo, 22-23 de julio de 2026. Fuente: Blockaid, Lookonchain
Total estimado: cerca de 35,55 millones de dólares en una sola ventana de seis horas.
El caso Verus: la misma puerta, dos veces
Concretamente, el detalle más duro tiene que ver con Verus y merece una explicación. Un bridge es una herramienta que permite mover valor entre dos blockchains que de otro modo no se comunicarían: bloquea tokens reales en un lado y emite derechos equivalentes en el otro. Su seguridad depende por completo de una verificación: que cada retiro en un lado corresponda realmente a fondos bloqueados en el otro.
Verus, Ethereum Bridge Suffers Second Exploit in Two Months, $7.54M Drained
, Wu Blockchain (@WuBlockchain) July 23, 2026
Blockaid detected a new exploit targeting the Verus, Ethereum Bridge, with an attacker abusing the bridge's import path to trigger unbacked Ethereum-side payouts and drain approximately $7.54 million in… pic.twitter.com/eNGo8EILT7
En este caso el atacante aprovechó el recorrido de importación del puente para activar pagos en el lado Ethereum que no estaban respaldados en el lado Verus. El bridge liberó dinero real contra un crédito que no existía. Pero el punto central es otro: según la empresa de seguridad Blockaid, que detectó el ataque, se trata del mismo contrato, el mismo punto de entrada y la misma clase de bug ya explotados en un ataque de mayo, cuando se sustrajeron unos 11,58 millones de dólares. Dos meses después, la misma puerta seguía abierta.
Qué falló y qué no
Aquí está el nudo que el sector se resiste a reconocer. Ninguno de estos ataques rompió la criptografía. En el caso de B² Network, el atacante obtuvo el control de los permisos de actualización del contrato de staking: no forzó nada, simplemente tenía las claves correctas. En los otros casos el código ejecutó correctamente lo que se le pidió, solo que la lógica permitía pedir algo que no debería haber sido posible.
El punto débil no es la matemática
Dónde se rompen realmente los sistemas crypto
- Resistió: la criptografía. En ninguno de los tres casos fue vulnerada.
- Falló: la lógica de verificación, que permitió pasar retiros sin respaldo.
- Falló: el control de claves y permisos de administración.
- Falló: la gobernanza, que no cerró una vulnerabilidad ya conocida desde hacía dos meses.
Es exactamente el mismo patrón que surgió en el reciente caso del wallet Cardano: la cadena no había sido comprometida, el defecto estaba en el software que corría sobre ella. El sector sigue vendiendo la blockchain como sinónimo de seguridad, pero la blockchain solo protege la capa que toca directamente. Todo lo que está encima, los bridges, los contratos actualizables, las carteras administrativas, es software normal escrito por personas normales, con permisos gestionados por personas normales.
La variable nueva: la automatización de los ataques
Hay un elemento que hace el panorama más serio que una simple racha de mala suerte. Los analistas que siguen estos incidentes señalan que las claves comprometidas y los permisos mal gestionados siguen siendo la causa principal de los robos más cuantiosos, y que las herramientas de intrusión asistidas por inteligencia artificial se vuelven cada vez más capaces.
Traducido al lenguaje concreto: el escaneo automatizado de código en busca de patrones vulnerables ya conocidos cuesta hoy mucho menos que ayer. Y si un defecto público permanece abierto durante meses, como ocurrió con Verus, el tiempo que pasa ya no trabaja a favor de quien defiende. Tres ataques en seis horas, sobre protocolos distintos, son probablemente una coincidencia. Pero también son la fotografía de un sector en el que encontrar la puerta equivocada se ha vuelto mucho más rápido que repararla.
🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
, Blockaid (@blockaid_) July 23, 2026
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵
La lectura más amplia
Quien invierte o construye debería extraer una conclusión poco heroica pero concreta. Los bridges siguen siendo el punto más frágil de todo el ecosistema, porque concentran grandes cantidades de fondos y su seguridad depende de una verificación que, si falla aunque sea un poco, abre un grifo. Antes de dejar valor en un protocolo que conecta cadenas distintas, vale la pena preguntarse quién controla los permisos de actualización, si existe una auditoría independiente reciente y si las vulnerabilidades pasadas han sido realmente cerradas o solo parcheadas provisionalmente.
Porque la verdadera noticia de hoy no es que alguien haya robado 35 millones. Es que, para hacerlo, no necesitó romper nada. Le bastó encontrar una puerta que alguien había dejado abierta dos meses atrás. Quien quiera entender los fundamentos puede partir de nuestra guía sobre cómo funciona una blockchain y de la que explica cómo custodiar las propias criptomonedas.
