Qué es un puente entre blockchains y por qué son blanco de hackeos

Un puente entre blockchains (o bridge, en inglés) es una herramienta que permite mover activos o información de una red a otra: por ejemplo, llevar USDC de Ethereum a Arbitrum, o pasar ETH a una red como Polygon o Base. Suena a un trámite técnico menor. En la práctica, los puentes son una de las piezas más delicadas de las finanzas descentralizadas y, durante años, el lugar donde se produjeron algunos de los robos más grandes de la historia cripto.

La razón es sencilla de enunciar y difícil de resolver: las blockchains no se comunican entre sí de forma nativa. Bitcoin no sabe lo que ocurre en Ethereum, y Ethereum no puede verificar por sí solo lo que pasa en Solana. Para cubrir ese vacío, alguien (un contrato, un grupo de validadores, una empresa) tiene que actuar como intermediario. Y todo intermediario que custodia dinero es un objetivo.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

En esta guía verás cómo funciona un puente por dentro, qué modelos existen, por qué atraen tanto a los atacantes, qué pasó en incidentes conocidos como Ronin, Wormhole o Nomad, y qué precauciones concretas conviene tomar antes de cruzar fondos.

Qué es un puente entre blockchains, explicado sin tecnicismos

Imagina que tienes dólares en un banco de México y quieres usarlos en una tienda que solo acepta una moneda propia de su país. No puedes «teletransportar» los billetes. Lo que haces es dejarlos en una casa de cambio y recibir a cambio un vale equivalente que la tienda sí acepta. El vale vale algo solo mientras la casa de cambio conserve tus dólares y cumpla su promesa de devolvértelos.

Un puente cripto hace algo muy parecido. Tus tokens no viajan físicamente de una cadena a otra; lo habitual es que queden bloqueados en un contrato inteligente en la red de origen y que, en la red de destino, se emita una representación equivalente. A esa representación se la llama token envuelto (wrapped token). El WBTC, por ejemplo, es una versión de bitcoin que circula en Ethereum, respaldada por bitcoins custodiados fuera de esa red.

Un contrato inteligente, por cierto, es un programa que se ejecuta en la blockchain y que sigue reglas automáticas: si se cumple una condición, ejecuta una acción. Los puentes dependen de varios de ellos, uno en cada red, coordinados entre sí.

Cómo funcionan los puentes cross-chain: los principales mecanismos

No todos los puentes operan igual. Conocer el mecanismo ayuda a entender dónde está el riesgo en cada caso.

Bloquear y emitir (lock and mint)

Es el modelo clásico. Depositas 1 ETH en el contrato del puente en Ethereum, el puente lo bloquea y emite 1 «ETH envuelto» en la red de destino. Cuando quieres volver, el token envuelto se quema y el ETH original se libera. El punto débil salta a la vista: todo el ETH bloqueado queda concentrado en un solo contrato. Si alguien logra liberarlo sin quemar nada a cambio, los tokens envueltos de la otra red quedan sin respaldo.

Quemar y emitir (burn and mint)

Aquí el token se destruye en el origen y se crea de nuevo en el destino, sin un gran depósito acumulado. Funciona cuando el emisor del token controla su creación en varias redes. Un ejemplo conocido es el protocolo de transferencia cross-chain de Circle (CCTP), que permite mover USDC nativo entre redes compatibles quemándolo en una y acuñándolo en otra. Elimina el «bote» de fondos bloqueados, aunque sigues confiando en el emisor y en su sistema de mensajería.

Pools de liquidez

Otros puentes mantienen reservas del mismo activo en ambas redes. Entregas USDC en una cadena y recibes USDC de la reserva en la otra, sin tokens envueltos de por medio. Suele ser rápido, pero depende de que haya liquidez suficiente y de que esas reservas estén bien protegidas.

Mensajería entre cadenas

Algunos protocolos, como LayerZero, Wormhole o Chainlink CCIP, no se limitan a mover tokens: transmiten mensajes arbitrarios entre redes, lo que permite que una aplicación en una cadena ejecute acciones en otra. Es más flexible y, por lo mismo, amplía la superficie de ataque.

Quién verifica lo que pasa en la otra red: el modelo de confianza

Esta es la pregunta clave para evaluar cualquier puente. Cuando el contrato en la red B emite tokens, ¿cómo sabe que de verdad depositaste en la red A? Hay básicamente tres respuestas.

• Un grupo de firmantes (multifirma o validadores externos). Un conjunto de entidades observa la red de origen y firma un mensaje confirmando el depósito. Si una mayoría firma, el puente lo acepta. Es el modelo más común y el más vulnerable: quien controle suficientes claves controla el puente.
• Clientes ligeros o pruebas criptográficas. La red de destino verifica matemáticamente el estado de la red de origen, por ejemplo con pruebas de conocimiento cero (zero-knowledge). El protocolo IBC de Cosmos usa clientes ligeros. Reduce mucho la dependencia de terceros, aunque es más complejo de construir.
• Modelos optimistas. Se asume que los mensajes son válidos salvo que alguien demuestre lo contrario durante un periodo de impugnación. Por eso retirar fondos desde algunos rollups optimistas hacia Ethereum por el puente oficial puede tardar alrededor de una semana.

Los puentes nativos de las redes de capa 2 (como los oficiales de Arbitrum u Optimism) heredan parte de la seguridad de Ethereum, aunque cada uno tiene sus propias particularidades, como la posibilidad de actualizar contratos. Sitios de análisis como L2BEAT detallan esos riesgos red por red y vale la pena consultarlos.

Por qué los puentes entre blockchains son blanco de hackeos

Un atacante busca dos cosas: mucho dinero y un punto débil. Los puentes ofrecen ambas.

Concentran fondos. Un puente popular puede acumular cientos o miles de millones de dólares en un solo contrato o en unas pocas billeteras. Pocos objetivos en DeFi son tan rentables.

Son complejos. Un puente debe interpretar correctamente dos blockchains con lenguajes, formatos y reglas de finalidad diferentes. Cada traducción entre ambas es una oportunidad para un error. Un fallo en la verificación de una firma, un parámetro mal inicializado tras una actualización o una suposición incorrecta sobre cómo confirma bloques la otra red bastan para abrir la puerta.

Dependen de claves privadas. En los modelos de multifirma, comprometer unas pocas claves equivale a tener las llaves de la bóveda. Y las claves las manejan personas, que reciben correos, descargan archivos y cometen errores.

El daño, además, se propaga. Cuando un puente pierde los fondos bloqueados, los tokens envueltos en la otra red pierden su respaldo y su precio puede desplomarse, arrastrando a los protocolos de préstamos o de intercambio que los aceptaban como garantía. Firmas de análisis como Chainalysis señalaron en su momento que los ataques a puentes representaban una parte muy grande del total de criptomonedas robadas en los años de mayor actividad.

Hackeos conocidos a puentes: qué pasó y qué enseñan

Repasar algunos casos sirve más que cualquier advertencia genérica, porque cada uno falló por un motivo distinto.

Ronin Bridge

Ronin es la red creada para el juego Axie Infinity, muy popular en su momento en Filipinas y también en varios países de Latinoamérica. En 2022, atacantes obtuvieron el control de cinco de las nueve claves de validadores necesarias para aprobar retiros y se llevaron alrededor de 600 millones de dólares en ETH y USDC. El robo tardó días en detectarse. El FBI lo atribuyó al grupo Lazarus, vinculado a Corea del Norte, y diversos reportes indicaron que el acceso inicial se logró mediante ingeniería social contra empleados. La lección: un umbral de firmas bajo y poco distribuido convierte a unas pocas personas en el eslabón débil.

Wormhole

Ese mismo año, Wormhole, que conectaba Solana con Ethereum y otras redes, sufrió un ataque que explotó un fallo en la verificación de firmas del lado de Solana. El atacante consiguió acuñar unos 120.000 ETH envueltos sin depositar el respaldo correspondiente, por un valor cercano a 320 millones de dólares en ese momento. Jump Crypto, empresa vinculada al proyecto, repuso los fondos para que el token no perdiera su respaldo. Aquí no hubo claves robadas: bastó un error de código.

Nomad

El caso de Nomad es casi absurdo. Una actualización dejó mal configurado un parámetro, de modo que el contrato aceptaba como válidos mensajes que no lo eran. Cuando alguien lo descubrió, otros simplemente copiaron la transacción del atacante cambiando la dirección de destino. Cientos de billeteras participaron en el saqueo, que superó los 150 millones de dólares. Parte de los fondos fue devuelta por usuarios que se presentaron como «hackers de sombrero blanco».

Poly Network, Harmony y Multichain

Poly Network perdió más de 600 millones en 2021 por una falla en la gestión de permisos entre contratos; curiosamente, el atacante devolvió casi todo. El puente Horizon de Harmony cayó en 2022 tras el compromiso de una multifirma que requería solo dos firmas de cinco. Y Multichain colapsó en 2023 en circunstancias poco claras, después de que su director ejecutivo fuera detenido y se descubriera que el control de claves críticas estaba excesivamente centralizado.

Si se miran juntos, el patrón es claro: claves mal distribuidas, errores en contratos, actualizaciones descuidadas y centralización oculta tras una fachada descentralizada.

Precauciones al usar un puente entre blockchains

Ningún usuario puede auditar el código de un puente, pero sí puede reducir bastante su exposición. Estas prácticas son las que suelen recomendar los equipos de seguridad del sector.

• Entra siempre desde la dirección oficial. Los anuncios patrocinados en buscadores y los enlaces en redes sociales son la vía favorita de las páginas falsas. Guarda el sitio en tus marcadores y accede desde ahí.
• Haz una transferencia de prueba. Envía primero una cantidad pequeña y confirma que llega antes de mover el resto.
• Prioriza activos nativos sobre envueltos. Si puedes recibir USDC nativo en la red de destino, en lugar de una versión envuelta por un puente, eliminas una capa de riesgo.
• No dejes fondos «en tránsito» más tiempo del necesario. Mantener grandes cantidades en tokens envueltos te expone a que el puente que los respalda sea atacado meses después.
• Revisa y revoca permisos. Al usar un puente, autorizas a un contrato a mover tus tokens. Herramientas como Revoke.cash o el apartado de aprobaciones de los exploradores de bloques permiten retirar esos permisos cuando ya no los necesitas.
• Investiga el modelo de seguridad. ¿Cuántos firmantes hay y quiénes son? ¿Tiene auditorías publicadas y un programa de recompensas por errores? ¿Sufrió incidentes antes y cómo respondió?
• Desconfía del «soporte» que te escribe primero. Si en Discord o Telegram alguien te ofrece ayuda por mensaje privado para «desbloquear» una transferencia, casi con seguridad es una estafa. Nadie legítimo te pedirá tu frase semilla.
• Ten gas en la red de destino. Para mover tus tokens una vez que lleguen necesitarás la moneda nativa de esa red para pagar comisiones. Algunos puentes ofrecen entregarte una pequeña cantidad, pero no todos.

Alternativas a los puentes: cuando un exchange es más sencillo

Para muchos usuarios, sobre todo los que están empezando, el camino más simple no pasa por un puente descentralizado. Exchanges centralizados como Binance, Bitso, Bybit u OKX permiten depositar un activo por una red y retirarlo por otra distinta. Si compraste USDT en un exchange y quieres usarlo en Polygon o en Tron, basta con elegir esa red al momento de retirar.

La contrapartida es que dependes de la plataforma: debes completar el KYC (verificación de identidad), tus fondos quedan bajo su custodia mientras están ahí y se aplican sus comisiones de retiro. Aun así, para montos modestos y rutas comunes, esta opción reduce el riesgo de cometer errores técnicos o caer en una página falsa. Lo que conviene evitar siempre es elegir una red de retiro que tu billetera de destino no admita: los fondos enviados a la red equivocada pueden ser muy difíciles de recuperar.

Si necesitas interactuar directamente con aplicaciones DeFi en otra red, los puentes oficiales de cada capa 2 y los sistemas respaldados por el propio emisor del token suelen ser una elección más conservadora que los puentes de terceros poco conocidos, aunque ninguno es infalible.

Preguntas frecuentes

¿Es seguro usar un puente entre blockchains?

Depende del puente y de cómo lo uses. Los puentes oficiales de redes consolidadas y los que tienen un modelo de verificación robusto presentan menos riesgo que los nuevos o muy centralizados, pero ninguno elimina el riesgo por completo. Mover cantidades que puedas permitirte perder y no dejar fondos envueltos indefinidamente reduce la exposición.

¿Qué pasa con mis tokens envueltos si hackean el puente?

Si el atacante vacía los fondos que respaldan esos tokens, pueden perder parte o todo su valor, porque ya no hay activos detrás que los respalden. En algunos casos el proyecto o un inversor repuso lo robado, como sucedió con Wormhole, pero no es algo con lo que se pueda contar.

¿Por qué mi transferencia por un puente tarda tanto?

Cada puente espera un número de confirmaciones en la red de origen antes de liberar fondos en la de destino. En los puentes oficiales de rollups optimistas, el retiro hacia Ethereum incluye un periodo de impugnación que suele rondar los siete días. Si tu transacción aparece confirmada en el explorador de origen, normalmente solo queda esperar; evita «servicios de recuperación» que prometen acelerarla.

¿Puedo mover bitcoin a Ethereum sin un puente?

No directamente, porque son redes independientes. Las opciones habituales son usar una versión envuelta como WBTC o similares, que dependen de un custodio, o vender el bitcoin y comprar el activo deseado en un exchange. Cada alternativa implica un tipo de confianza distinto.

Los puentes resuelven un problema real, y por eso seguirán existiendo mientras haya varias blockchains en uso. Lo sensato es tratarlos como lo que son: infraestructura que custodia dinero ajeno y que atrae a atacantes con muchos recursos. Antes de cruzar fondos, dedica unos minutos a entender quién verifica tus transferencias y qué pasaría si algo falla. Esa pregunta, hecha a tiempo, ha evitado más pérdidas que cualquier auditoría. Y recuerda que operar con criptomonedas conlleva riesgos, incluido el de perder la totalidad de lo invertido.