Un retiro autorizado por credenciales comprometidas
La firma de seguridad Blockaid alertó de un incidente específico en el puente controlado por AFX Trade, un protocolo de negociación de futuros perpetuos desplegado sobre Arbitrum. Su análisis situó el inicio detectado a las 21:30 UTC y calculó inicialmente una salida de 24,15 millones de USDC, una moneda estable diseñada para mantener paridad con el dólar estadounidense.
Los primeros informes periodísticos aparecieron después del acontecimiento: The Block publicó su reconstrucción el 22 de julio a las 21:39, hora del este de Estados Unidos, y CoinDesk amplió el análisis técnico el 23 de julio. Las fuentes coinciden en que no se eludió la lógica del contrato: el sistema recibió suficientes firmas aparentemente válidas y ejecutó el retiro programado.
Cinco firmas superaron el umbral del puente
Según Blockaid, cinco claves de validadores activos autorizaron la transferencia de 24.150.000 USDC. Ese número superaba el quórum aproximado de dos tercios establecido por el puente. Un quórum es el mínimo de aprobaciones necesario para que un sistema distribuido acepte una instrucción. Desde la perspectiva del contrato, la solicitud cumplía las reglas porque las firmas criptográficas correspondían a credenciales reconocidas.
La hipótesis técnica publicada hasta ahora es que las claves privadas fueron comprometidas fuera de la cadena, no que la criptografía hubiera sido quebrada. Las llamadas hot keys permanecen conectadas o accesibles desde sistemas operativos para firmar con rapidez. Esa disponibilidad mejora la automatización, pero aumenta la exposición frente a intrusiones, robo de credenciales o acceso privilegiado indebido. Todavía no se ha divulgado cómo obtuvo el atacante las claves ni si comprometió simultáneamente varios entornos.
El contrato funcionó, pero la confianza falló
El puente aplicó un periodo de disputa de unos 200 segundos antes de liberar los fondos, de acuerdo con el análisis citado por CoinDesk. Ese margen está pensado para permitir que los participantes detecten o impugnen instrucciones irregulares. Sin embargo, una ventana de seguridad resulta insuficiente si las firmas requeridas parecen auténticas y no existe otro mecanismo independiente que cuestione la operación.
Este tipo de incidente demuestra la diferencia entre seguridad del código y seguridad del sistema completo. El contrato puede comprobar correctamente cada firma y aun así ejecutar una orden fraudulenta cuando las credenciales autorizadas están bajo control ajeno. La protección depende también del almacenamiento de claves, la separación entre validadores, las políticas de acceso, las alertas en tiempo real y la capacidad de detener transferencias anómalas antes de que expire el plazo de impugnación.
El puente nativo de Arbitrum no fue atacado
Steven Goldfeder, cofundador de Offchain Labs, afirmó durante la investigación que la operación procedía de un protocolo de terceros y que el puente nativo de Arbitrum no había sido pirateado ni explotado. Esta precisión es fundamental: AFX se ejecuta sobre Arbitrum, pero administra su propio mecanismo para trasladar activos. Un fallo en ese componente no equivale a una vulneración de la infraestructura oficial que conecta Arbitrum con Ethereum.
La distinción limita el alcance técnico confirmado. El incidente afectó a los activos depositados en el puente de AFX, no prueba que las demás aplicaciones o fondos alojados en Arbitrum estén expuestos al mismo vector. Offchain Labs indicó que colaboraría con el equipo afectado y publicaría más detalles cuando estuvieran disponibles. Al cierre, AFX no había difundido un informe forense completo ni una cronología propia que explicara la custodia de las claves.
Los fondos terminaron convertidos en ether
PeckShield rastreó los movimientos posteriores y señaló que el atacante trasladó el USDC desde Arbitrum hasta Ethereum antes de cambiarlo por aproximadamente 12.467 ETH. La conversión no impide seguir las direcciones en una cadena pública, pero transforma un activo centralizado y potencialmente congelable, como USDC, en ether, cuya circulación no depende de un emisor con capacidad equivalente para bloquear unidades.
CoinDesk informó que, en el momento de su análisis, el ether se concentraba en una sola cartera. La cifra de 12.467 ETH es aproximada y el valor en dólares puede variar con el mercado. No existe confirmación pública de que los fondos hayan sido recuperados, inmovilizados o enviados a un mezclador. Tampoco se ha anunciado una negociación con el atacante, por lo que cualquier afirmación sobre su identidad o intención sería especulativa.
Un golpe cercano a todo el valor depositado
Los 24,15 millones de dólares representaban casi la totalidad del valor bloqueado en AFX, según los datos de finanzas descentralizadas citados por CoinDesk. El protocolo había experimentado un aumento del volumen de negociación de perpetuos durante julio. Los futuros perpetuos son derivados sin fecha de vencimiento que permiten tomar exposición al precio de un activo y suelen requerir garantías depositadas en contratos.
El vaciado amenaza la capacidad del protocolo para respaldar saldos, posiciones y retiros, aunque el impacto individual dependerá de la estructura de esos fondos. Todavía faltan un inventario de activos y pasivos, el número de usuarios afectados y un plan formal de compensación. Un importe transferido desde un puente no equivale necesariamente a la pérdida final de cada cliente hasta que el equipo reconcilie las cuentas y determine qué reservas permanecen accesibles.
La investigación debe aclarar la custodia de claves
Los próximos datos decisivos serán la causa inicial del compromiso, la independencia real entre los cinco firmantes y las medidas aplicadas después de la alerta. Si varias claves estaban almacenadas bajo una misma administración o proveedor, el sistema tenía más validadores en apariencia que dominios de seguridad efectivos. También deberá conocerse si existían módulos físicos, límites de retiro, rotación de credenciales y mecanismos automáticos para detener transferencias extraordinarias.
Hasta que AFX publique una autopsia técnica, la conclusión verificable es limitada: suficientes credenciales válidas autorizaron un retiro no legítimo desde el puente del protocolo; la red y el puente nativo de Arbitrum no fueron vulnerados. El caso refuerza la necesidad de evaluar en los proyectos DeFi no solo contratos auditados, sino también claves administrativas, puentes, oráculos y procedimientos de respuesta que operan fuera de la cadena.
