- Los atacantes evitaron la validación de la pasarela usando mensajes cross-chain falsificados para desbloquear fondos.
- El exploit drenó aproximadamente 3 millones de dólares del contrato PortalV2 de CrossCurve en múltiples redes.
- CrossCurve identificó diez carteras destinatarias y activó su política de recompensas WhiteHat del 10%.
CrossCurve, un protocolo descentralizado de liquidez cross-chain anteriormente conocido como EYWA, ha confirmado que su infraestructura de puente fue explotada, lo que provocó pérdidas de aproximadamente 3 millones de dólares.
El ataque contribuye a un aumento sustancial en los robos de criptomonedas. Solo en enero de 2026 se robaron casi 400 millones de dólares en toda la industria. Según CertiK, se registraron más de 40 incidentes de seguridad importantes durante el mes.
Mensajes suplantados que se saltan la validación
El exploit se centró en una comprobación de validación perdida en uno de los contratos inteligentes de CrossCurve. Según Defimon Alerts, cualquiera podía llamar a la función expressExecute en el contrato ReceiverAxelar usando un mensaje cross-chain suplantado.
Esto evitaba la validación de la pasarela y desencadenava desbloqueos no autorizados de tokens en el contrato PortalV2 del protocolo. Los datos de Arkham mostraron que el saldo de PortalV2 cayó de aproximadamente 3 millones de dólares a casi cero alrededor del 31 de enero, con fondos drenados en múltiples redes.
Posteriormente, BlockSec estimó las pérdidas totales en unos 2,76 millones de dólares. Se perdieron aproximadamente 1,3 millones de dólares en Ethereum y alrededor de 1,28 millones en Arbitrum. Se registraron pérdidas adicionales en Optimism, Base, Mantle, Kava, Frax, Celo y Blast.
El mecanismo de exploit se asemejó al fallo del puente Nomad en 2022, cuando una verificación defectuosa provocó un rápido drenaje de fondos por cientos de monederos.
Respuesta de emergencia e identificación de carteras
Tras el ataque, CrossCurve emitió un aviso urgente pidiendo a los usuarios que detuvieran todas las interacciones mientras se investigaba el problema. El equipo confirmó posteriormente que había identificado diez direcciones de Ethereum que recibieron tokens originados del exploit.
CrossCurve afirmó que los fondos se tomaron debido a un fallo en un contrato inteligente y afirmó que no asumió intención maliciosa en esta etapa. El protocolo invocaba su política SafeHarbor WhiteHat, ofreciendo una recompensa de hasta el 10% a cualquier parte que devolviera los fondos restantes.
También invitaba a una coordinación directa por correo electrónico o reembolso anónimo a una cartera designada. Pero se advirtió que si no se establece ningún contacto y no se devuelven fondos en un plazo de 72 horas desde el bloque 24364392, el incidente será tratado como malicioso.
Las medidas de escalada incluyen derivaciones penales, litigios civiles, cooperación con intercambios centralizados y emisores de stablecoins para congelar activos, divulgación pública de los datos de la cartera y coordinación con firmas de análisis blockchain y fuerzas del orden.
Relacionado: Hackeo al protocolo Truebit activa las comisiones de récord de Uniswap en medio de un volcado del 100% de TRU
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
