Radix sufre una vulnerabilidad de 3 años: robo de 1,3 millones y 10 días de blockchain detenida

Una vulnerabilidad en Radix que permaneció oculta durante tres años derivó en el drenaje de aproximadamente 1,3 millones de dólares y forzó una paralización de la cadena de unos diez días. El incidente, ocurrido el 31 de agosto de 2026, obligó a los validadores a suspender la finalización de transacciones mientras se contenía el ataque, según el reporte oficial del proyecto.

El fallo afectaba a la lógica de autorización de las bóvedas (vaults) de la red y, pese a su antigüedad, había sobrevivido a una revisión de seguridad realizada en 2024. La combinación de una brecha de tres años con una auditoría que no la detectó reabre el debate sobre los límites de las revisiones de código en entornos blockchain.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Cómo se explotó la vulnerabilidad en Radix

De acuerdo con el informe público de incidente publicado por Radix, el problema residía en un defecto de autorización de bóvedas que permitió el movimiento no autorizado de activos. El drenaje se canalizó a través de infraestructura vinculada a mensajería entre cadenas, en un episodio que el registro comunitario de la red documenta como el «Hyperlane asset drain».

La respuesta de los validadores fue detener la finalización de transacciones, es decir, congelar el proceso por el que la red confirma de forma irreversible las operaciones. Esa decisión frenó la salida de más fondos, pero al costo de dejar la cadena efectivamente inoperativa durante aproximadamente diez días, un período inusualmente largo para una red de capa base.

El detalle más incómodo para el proyecto es cronológico: el fallo llevaba unos tres años presente en el código. Una revisión de seguridad de la firma Zellic realizada en 2024 no lo identificó, lo que subraya que ni siquiera las auditorías especializadas garantizan la detección de todos los vectores de riesgo.

Por qué importa una parada de diez días

Detener una blockchain durante días tiene consecuencias que van más allá de la pérdida directa de fondos. Los usuarios quedan sin poder mover activos, las aplicaciones construidas sobre la red se paralizan y la confianza en la disponibilidad del protocolo se resiente. Para una red que compite por atraer desarrolladores y liquidez, una interrupción prolongada es un golpe reputacional difícil de medir en dólares.

El monto sustraído, cercano a 1,3 millones de dólares, es modesto frente a los grandes hackeos del sector, donde los robos superan con frecuencia las decenas o cientos de millones. Sin embargo, el caso destaca por el factor tiempo: un error latente durante tres años sugiere que la superficie de ataque real de muchos protocolos puede ser mayor de lo que reflejan sus auditorías.

Los incidentes de seguridad en cadena siguen siendo uno de los frentes más sensibles del sector. En paralelo, actores estatales han elevado la sofisticación de sus operaciones: reportes recientes señalan que Corea del Norte e Irán concentran buena parte del malware dirigido a criptoactivos, un recordatorio de que las amenazas no se limitan a errores de programación.

Lecciones para el resto del ecosistema

El episodio de Radix refuerza varias ideas que la industria repite tras cada exploit. La primera es que una auditoría es una fotografía en el tiempo, no una garantía permanente: el código evoluciona, los supuestos cambian y los revisores tienen alcance limitado. La segunda es que la capacidad de respuesta —en este caso, la coordinación de validadores para detener la red— puede ser tan decisiva como la prevención.

También queda abierta la cuestión de la descentralización operativa. Que un grupo de validadores pueda pausar la finalización de transacciones evitó pérdidas mayores, pero evidencia un punto de control que otros diseños de red buscan minimizar. Es la tensión clásica entre seguridad reactiva y resistencia a la censura.

Para inversores y usuarios, el caso deja una advertencia práctica: la seguridad de un protocolo no se agota en su marketing ni en la existencia de una auditoría, sino en cómo gestiona el código a lo largo del tiempo y cómo reacciona bajo presión. Radix deberá ahora demostrar que su respuesta al incidente y las correcciones aplicadas bastan para recuperar la confianza de una comunidad que pasó diez días con la cadena detenida.