Al menos tres fueron drenados con rapidez en un periodo de 6 horas, con un total combinado que superó los 35 millones de dólares, según datos de blockchain evaluados por CoinDesk y reportados por las firmas de seguridad BlockAid y Peckshield.
El ciclo de ataques comparte un hilo común. Ninguno rompió la criptografía subyacente: cada uno fue o bien una falla lógica, donde el código se ejecutó tal como estaba escrito pero las reglas igual permitieron sacar dinero, o bien una clave comprometida que entregó a un atacante el control que nunca debería haber tenido.
Lo más devastador fue la red blockchain Verus. Blockaid detectó un exploit en el puente Verus-Ethereum a primera hora del jueves, que drenó alrededor de 7,54 millones de dólares en ether, tokenizó bitcoin y una serie de stablecoins.
La firma señaló que el ataque reutilizó el mismo contrato de puente y la misma ruta de entrada que un hack anterior, explotando una clase de error idéntica. CoinDesk informó sobre ese incidente anterior, que resultó en una pérdida de 11.5 millones de dólares, en mayo.
Un puente es una herramienta basada en blockchain que permite que los activos se muevan entre dos redes que, de otro modo, no pueden interactuar entre sí. Mantiene tokens reales en un lado y emite reclamaciones contra ellos en el otro, y su seguridad depende por completo de verificar correctamente que cada retiro esté respaldado genuinamente por activos bloqueados en la otra cadena.
La falla de Verus permitió que un atacante activara pagos en el lado de Ethereum que nunca estaban adecuadamente respaldados en el lado de Verus, por lo que el puente liberó dinero real contra una reclamación que valía casi nada.
El atacante devolvió la mayor parte de los fondos a cambio de una recompensa después del ataque de mayo. Luego, Verus volvió a depositar el dinero recuperado en el mismo puente el 8 de julio, según registros onchain recopilados por investigadores de seguridad, y el puente volvió a drenarse dos semanas después.
El costo de esa confianza se ve reflejado en los números de la plataforma. Verus mantenía cerca de 100 millones de dólares en valor bloqueado al inicio de 2025, según DefiLlama.