Cómo una vulnerabilidad de autorización entre cadenas se convirtió en una catástrofe que afectó a múltiples cadenas
Los límites de confianza que rigen las transferencias entre cadenas
Los protocolos entre cadenas funcionan como un sistema de transferencia segura: un usuario bloquea los activos en la Cadena A, y los contratos inteligentes del protocolo autorizan la liberación de activos equivalentes en la Cadena B. La seguridad de esta transferencia depende completamente de la integridad de la lógica de autorización, en particular de qué entidades (denominadas “guardianes” o “retransmisores”) tienen permiso para aprobar las transacciones entre cadenas. Cuando esta autorización puede ser manipulada, el atacante no necesita robar los fondos de usuarios individuales; puede simplemente redirigir todo el conjunto de activos bajo su custodia. Lectura adicional: Los 5 principales mercados de predicciones en Web3 a seguir en 2026 (más allá de Polymarket).
Según Kraken Security Labs, la vulnerabilidad permitió que un atacante utilizara una transacción entre cadenas para reemplazar las claves públicas de los “guardianes” de los contratos de Ethereum en Poly Network, transfiriendo así el control administrativo de los fondos del protocolo a una dirección controlada por el atacante. Una vez que las claves de los guardianes fueron sustituidas, retirar los activos no requería ninguna otra acción del atacante; este simplemente actuaba de acuerdo con las reglas del propio protocolo.
Por qué una vulnerabilidad en los contratos inteligentes tiene consecuencias en múltiples cadenas
Un ataque tradicional contra un contrato inteligente suele afectar únicamente un conjunto de activos en una cadena concreta. En cambio, un ataque que utiliza un “puente” entre cadenas es diferente en su estructura, ya que la misma lógica de autorización regula la liberación de activos en todas las cadenas conectadas.El atacante de la red Poly no necesitó vulnerabilidades separadas para Ethereum, Binance Smart Chain y Polygon; según el análisis de Kraken Security Labs, fue suficiente realizar un simple reemplazo de la clave de custodia en los contratos de cada red.
Se trata de un fallo a nivel de protocolo, no de una falla en la seguridad de la billetera de ningún usuario en particular. Incluso aquellos usuarios que nunca habían interactuado directamente con la red Poly podrían verse afectados si el protocolo que utilizaban enrutaba sus fondos a través de ella, lo que demuestra que los riesgos asociados a este tipo de ataques son sistémicos, y no se circunscriben únicamente a usuarios específicos.
¿Por qué se devolvieron la mayoría de los fondos de la red Poly???
El papel de la trazabilidad en la cadena y la atención del público???
Dentro de dos días del ataque, el atacante comenzó a devolver los fondos. Hasta las 12:45 del mediodía del 12 de agosto de 2021, Chainalysis informó que se habían devuelto 578,6 millones de dólares de los 612 millones iniciales; Tether había congelado 33,4 millones de dólares en USDT, lo que deja un déficit residual relativamente pequeño para un ataque de esa magnitud.
El BBC News informó el 12 de agosto de 2021 que la red Poly había recibido ya 260 millones de dólares devueltos, después de haber contactado públicamente al atacante y pedirle que devolviera los fondos. Los registros de la cadena blockchain hicieron que las direcciones del atacante fueran inmediatamente visibles para todos los equipos de cumplimiento de las exchanges, las empresas de análisis de blockchain y las agencias de aplicación de la ley, lo que redujo significativamente las posibilidades de conversión y lavado de dinero.
Por qué el hecho de que los fondos hayan sido devueltos no debe considerarse un control de seguridad efectivo???
La recuperación de la red Poly fue anómala.La motivación declarada por el atacante para devolver los fondos no fue la presión legal ni un acuerdo negociado, sino más bien la falta de opciones viables para salir de la situación, dada la supervisión inmediata de la cadena. La mayoría de las vulnerabilidades en los sistemas DeFi (Decentralized Finance) no terminan con una restitución voluntaria por parte del atacante. Los usuarios que toman como modelo el resultado del ataque en la red Poly Network están, en realidad, suponiendo que el atacante no lavará los activos robados ni los transferirá a otras redes, una dependencia que ningún modelo de riesgo debería tener en cuenta.
El hecho de que los tokens USDT hayan sido congelados también ilustra un aspecto importante: el control centralizado de Tether sobre su oferta de tokens le permitió incluir la dirección del atacante en una lista negra, lo que resultó en la recuperación de 33,4 millones de dólares que de otra manera no podrían haberse recuperado. Dicha intervención no está disponible para activos descentralizados o no custodiados, lo que significa que la tasa efectiva de recuperación de fondos en estos casos es estructuralmente más baja. ¿Qué significa el ataque en la red Poly Network para los usuarios de DeFi en la actualidad? El Índice de Miedo y Codicia en el mundo de las criptomonedas (Crypto Fear and Greed Index) alcanza los 30 puntos (nivel de miedo) a fecha de 31 de octubre de 2026, un nivel que históricamente se asocia con una mayor sensibilidad de los usuarios al riesgo asociado a los protocolos y con una menor liquidez en los contratos de tipo “puente” (bridge contracts). Esto hace que las lecciones extraídas del ataque en la red Poly Network sean aún más relevantes en las condiciones actuales del mercado. Ethereum, la cadena principal implicada en el ataque de 2021, cotiza aproximadamente a 2244 dólares en la misma fecha. Es recomendable limitar la cantidad de fondos que se mantienen en un único “puente” o protocolo. Los “puentes” interchain (que permiten la transferencia de activos entre diferentes cadenas) agrupan la custodia de los mismos, lo que significa que una vulnerabilidad en un solo contrato puede provocar la pérdida de fondos en múltiples redes al mismo tiempo, como demostró el caso de la red Poly Network.Distribuir los activos a través de protocolos independientes limita el alcance de los efectos de cualquier fallo individual; por otro lado, mantener una gran cantidad de activos en un único “puente” (infraestructura de conexión entre redes) en busca de mayores rendimientos o comodidad concentra el riesgo asociado a las contrapartes en un contrato inteligente que puede no haberse enfrentado nunca a ataques patrocinados por entidades gubernamentales. El mismo riesgo de concentración se aplica a los protocolos que utilizan estos “puentes” como capa de liquidez sin revelarlo a los usuarios finales. Antes de utilizar cualquier aplicación de tipo DeFi que permita la interacción entre redes (cross-chain), es esencial verificar qué tipo de infraestructura subyace a dichas aplicaciones y si dicha infraestructura ha sido sometida a auditorías recientes. Es importante verificar los enlaces oficiales, las direcciones de los contratos y las autorizaciones necesarias para el uso de las carteras digitales. El ataque contra la red Poly Network tuvo lugar a nivel del protocolo en sí, no se trató de un ataque de phishing dirigido a usuarios individuales. Sin embargo, existe otro tipo de ataques que apuntan directamente a los usuarios, a través de interfaces falsas, direcciones de contratos manipuladas o autorizaciones maliciosas que permiten gastos ilimitados. Verificar las direcciones de los contratos contra la documentación oficial antes de realizar cualquier transacción, así como revocar periódicamente las autorizaciones no utilizadas, reduce la vulnerabilidad a este tipo de ataques, sin necesidad de conocimientos técnicos especiales (basta con herramientas como Revoke.cash o los sistemas de gestión de autorizaciones integrados en las carteras digitales). Es importante comprender que las auditorías y el reconocimiento de la marca reducen el riesgo, aunque no lo eliminan por completo. En el momento del ataque, la red Poly Network era un protocolo establecido y ampliamente utilizado; no se trataba de una versión modificada (fork) lanzada recientemente y de forma anónima. El reconocimiento de la marca y el historial de auditorías anteriores no impidieron que la vulnerabilidad existiera o que pasara desapercibida hasta que fue explotada.Las auditorías reducen la probabilidad de que se presenten vulnerabilidades conocidas; no garantizan, sin embargo, la ausencia de fallos nuevos o de nivel lógico, especialmente en sistemas de autorización entre cadenas (cross-chain), donde la superficie de ataque abarca múltiples cadenas independientes y interacciones de contratos.
Para comprender cómo el sector de intercambios ha gestionado sus propios riesgos de custodia en el período posterior, el informe de Coincu sobre la pérdida de 6360 millones de dólares de Binance y su impacto en los usuarios de DeFi analiza cómo los custodios centralizados responden de manera diferente a la revelación de vulnerabilidades en comparación con los protocolos descentralizados. Además, el informe sobre la investigación de las salidas sospechosas de 5800 millones de dólares ilustra cómo la trazabilidad en la cadena se aplica igualmente a los eventos a nivel de intercambio.
Preguntas frecuentes: Ataque a Poly Network y riesgos relacionados con los puentes entre cadenas (cross-chain bridges)
¿Perdió Poly Network 6400 millones de dólares?
No. La cifra de 6400 millones de dólares no está respaldada por pruebas independientes relacionadas con Poly Network. Chainalysis documentó el ataque a Poly Network en agosto de 2021, que ascendió a aproximadamente 612 millones de dólares. La cifra de más de 6000 millones de dólares mencionada en algunos posts de redes sociales se refiere a un incidente relacionado con Binance que ocurrió en 2026, no al ataque a Poly Network; confundirlos es un error factual.
¿Cuánto dinero se perdió en el ataque a Poly Network?
Según Chainalysis, el atacante extrajo aproximadamente 612 millones de dólares de las redes Ethereum, Binance Smart Chain y Polygon el 10 de agosto de 2021. Esta cifra corresponde al momento del ataque y sigue siendo la estimación más autoritativa.
¿Se devolvieron los fondos robados?
La mayoría sí. Chainalysis informó que 578,6 millones de dólares habían sido devueltos para las 12:45 del mediodía (hora del este) del 12 de agosto de 2021, aproximadamente dos días después del ataque.Tether también congeló 33,4 millones de dólares en USDT que pertenecían al atacante. Según informes de la BBC, el atacante se comunicó públicamente con la Poly Network durante el proceso de devolución de los fondos. El resultado final de la compensación para todos los usuarios afectados no ha sido verificado de manera independiente en las fuentes disponibles para este artículo.
¿Son seguros de usar los puentes entre cadenas (cross-chain bridges)? Los puentes entre cadenas presentan un perfil de riesgo diferente en comparación con las aplicaciones DeFi de cadena única, ya que agrupan los activos bajo su custodia en múltiples redes y requieren lógicas de autorización especializadas; si estas lógicas son comprometidas, pueden provocar la pérdida de activos en varias cadenas al mismo tiempo. Ningún puente puede considerarse completamente seguro; la cuestión práctica es si la arquitectura de un puente, su historial de auditoría y su seguridad operativa justifican su uso en un caso concreto. El caso de la Poly Network demuestra que un protocolo puede ser ampliamente utilizado y tecnológicamente avanzado, pero aún así presentar vulnerabilidades de autorización graves. ¿Quién fue responsable del ataque a la Poly Network? Chainalysis describió al atacante como no identificado en su informe del momento. Ninguna identificación pública de una persona o grupo responsable ha sido verificada en las fuentes disponibles para este artículo. Las afirmaciones de que la parte responsable haya sido identificada deben considerarse no confirmadas a menos que haya verificación independiente por parte de autoridades policiales o fuentes de investigación. El caso de la Poly Network sigue siendo un ejemplo de los riesgos asociados a la arquitectura de los puentes entre cadenas, al igual que otros ataques de alto perfil que han seguido un patrón similar: uso de lógicas de contrato con derechos especiales, alcance multi-cadena y movimientos rápidos de fondos antes de que las defensas puedan actuar.Para los usuarios de DeFi que evalúan su exposición a los riesgos asociados a los “puentes” (bridge protocols), la cuestión no es si este tipo de vulnerabilidad ha sido eliminado, sino si el protocolo específico que utilizan ha abordado los riesgos relacionados con la capa de autorización que el ataque de 2021 puso de manifiesto. Las auditorías futuras, las votaciones relacionadas con la gestión de las llaves de los administradores de los contratos (keepers) y el monitoreo en cadena de los contratos de tipo “bridge” son indicadores concretos que merecen ser seguidos de cerca.Aviso de responsabilidad: Este artículo tiene únicamente fines informativos y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales conllevan riesgos significativos. Realice siempre su propia investigación antes de tomar ninguna decisión.
