Hackean el puente XRP de Coreum: un fallo permitió crear saldos falsos y vaciar las reservas

Un ataque contra el puente XRP de la red Coreum dejó al descubierto una vulnerabilidad crítica que había pasado inadvertida en varias auditorías. El fallo permitió a un atacante generar saldos que nunca existieron y retirar XRP real de las reservas del protocolo, según reportó el medio especializado Decrypt.

El mecanismo del ataque fue tan simple como preocupante: el software encargado de gestionar los depósitos trató como legítimos ciertos ingresos que en realidad eran falsos. Con esos balances sin respaldo, el atacante pudo solicitar retiros y drenar los fondos que otros usuarios sí habían depositado de verdad.

Cómo funcionó el ataque al puente XRP

Los puentes (bridges) son piezas de infraestructura que conectan distintas blockchains y permiten mover activos de una red a otra. Para lograrlo, suelen bloquear un activo en una cadena y emitir una representación equivalente en la otra. Ese diseño los convierte en uno de los objetivos favoritos de los atacantes, porque concentran grandes cantidades de fondos en contratos que deben validar con precisión cada depósito.

Publicidad

En el caso del puente XRP de Coreum, la lógica de verificación falló justo en ese punto crítico. En lugar de comprobar que cada depósito estuviera efectivamente respaldado, el sistema aceptó como válidos ingresos que no lo estaban. A partir de ahí, el atacante generó balances inflados y los canjeó por XRP genuino almacenado en las reservas.

Lo más inquietante para el sector es que el error sobrevivió a múltiples revisiones de código. Las auditorías de seguridad son el filtro habitual antes de que un protocolo maneje fondos de terceros, y su función es precisamente detectar este tipo de agujeros. Que un fallo de esta naturaleza pasara desapercibido reabre el debate sobre los límites reales de esas revisiones.

Un problema recurrente en la seguridad de los puentes

El incidente no es un caso aislado. Los puentes cross-chain acumulan algunas de las pérdidas más grandes en la historia de las criptomonedas, con episodios que han costado cientos de millones de dólares. La combinación de código complejo, grandes reservas y validaciones que deben ser perfectas los deja expuestos a errores que, una vez explotados, resultan difíciles de revertir.

La comunidad técnica ha documentado el suceso en detalle. Un análisis publicado en xrpl.to describe cómo el software trató los depósitos falsos como reales, mientras que investigadores independientes compartieron sus hallazgos en la red social X, señalando la mecánica exacta de la explotación.

Casos parecidos han obligado a otros proyectos a tomar medidas extremas. Recientemente, la red Harmony One evaluó un rollback total tras la acuñación no autorizada de miles de millones de sus tokens, una decisión drástica que evidencia lo complicado que es reparar el daño cuando ya se han creado activos sin respaldo.

Impacto sobre las reservas y los usuarios

El vaciado de las reservas afecta directamente a quienes habían depositado XRP legítimo en el puente. Cuando un atacante retira fondos respaldados usando balances inventados, el faltante recae sobre el conjunto de usuarios y sobre la solvencia del propio contrato. La representación de XRP en la red destino puede quedar sin el colateral que la sostiene, lo que compromete su valor y su convertibilidad.

Hasta el momento no se conoce con precisión el monto total drenado ni si el protocolo activará algún mecanismo de compensación. En incidentes de este tipo, los equipos suelen pausar el puente, contactar al atacante en busca de una devolución parcial y coordinar con exchanges para intentar rastrear los fondos. La eficacia de esas maniobras varía según la rapidez de la respuesta y el destino que tomen los activos robados.

El episodio llega en un momento sensible para XRP en el mercado. El token ha estado bajo presión en las últimas semanas, tras perder soportes clave que los analistas venían vigilando. Un golpe a la confianza en la infraestructura asociada a su ecosistema no ayuda al ánimo de los inversores, aunque el ataque afecte a un puente de terceros y no al protocolo base del XRP Ledger.

Qué deja este ataque al puente XRP

Más allá del monto, el caso del puente XRP subraya una lección incómoda: una auditoría aprobada no equivale a seguridad garantizada. La validación de depósitos es un punto de fallo silencioso que, cuando se rompe, permite convertir dinero inexistente en retiros reales.

Para los usuarios, el recordatorio es conocido pero difícil de cumplir en la práctica: mover activos entre cadenas implica confiar en código que puede tener grietas invisibles hasta que alguien las explota. Mientras los puentes sigan siendo un pilar de la interoperabilidad entre blockchains, su seguridad seguirá marcando la diferencia entre un ecosistema robusto y uno vulnerable a pérdidas millonarias.