Taiko detiene su Ethereum Layer 2 tras un exploit en el puente: Qué pasó y cómo proteger tus fondos

El 22 de junio de 2026, Taiko, una red Ethereum Layer 2, confirmó una brecha de seguridad en su puente cross-chain, detuvo la producción de bloques y emitió un aviso de emergencia indicando a los usuarios que retiraran fondos de todos los puentes de la red. Según la cuenta oficial de Taiko, las suposiciones de seguridad subyacentes a todos sus puentes ya no eran fiables, y el equipo pidió a los exchanges centralizados que suspendieran los depósitos de TAIKO mientras investigaban. Varias horas después, Taiko publicó una actualización diciendo que el incidente había sido contenido, con su puente y bóveda de tokens en pausa y el consejo anterior de retirada ya no en vigor.

La cantidad de dólares involucrada fue modesta para los estándares de los principales hacks de criptomonedas, pero la forma en que funcionó el ataque lo convierte en uno de los incidentes de puente técnicamente más notables del año. Aquí tienes un desglose claro y con fuentes.

Qué es Taiko y por qué importa un exploit en el puente

Taiko es un rollup zkEVM descentralizado, equivalente a Ethereum (Tipo-1), a menudo descrito como un rollup basado porque delega la secuenciación de transacciones a los validadores de Ethereum Layer 1 en lugar de ejecutar un único secuenciador centralizado. Para mover activos entre Ethereum y Taiko, la red utiliza un puente nativo que prueba criptográficamente que una retirada en una cadena coincide con un mensaje o depósito real en la otra. En términos sencillos, una retirada en Ethereum solo debería ser válida si corresponde a una transacción genuina en Taiko. Si eres nuevo en el proyecto, nuestra guía sobre qué es Taiko y cómo funciona su zkEVM Tipo-1 cubre los conceptos básicos.

Esa verificación de prueba es todo el modelo de seguridad del puente. Si se derrota, se puede convencer al puente para que libere fondos reales por una retirada que nunca ocurrió. Eso parece ser exactamente lo que hizo el atacante.

Cómo funcionó el ataque

Según la empresa de seguridad BlockSec, cuyos hallazgos fueron reportados por Decrypt y CoinDesk, el atacante generó pruebas fraudulentas que los contratos de verificación de Taiko aceptaron como genuinas, luego falsificó una señal para un mensaje de puente falso que liberó activos de la bóveda de tokens ERC20 de la red. La investigación preliminar de BlockSec rastreó la causa probable a una clave de firma del probador de Raiko, ligada a un enclave seguro Intel SGX, que había sido dejada públicamente expuesta en GitHub. Taiko no había publicado un postmortem completo confirmando la causa raíz en el momento de escribir este artículo, por lo que esto sigue siendo un hallazgo de una empresa de seguridad en lugar de una explicación oficial confirmada.

El detalle importa porque el sistema de probadores de Taiko se supone que ancla la confianza en hardware seguro. Los probadores se registran y depositan fianzas, y una clave de firma SGX está destinada a permanecer sellada dentro del enclave para que solo se acepten pruebas legítimas. Si esa clave se expone, un atacante puede registrar instancias de probadores maliciosos y firmar pruebas que la red trata como válidas. Esto no es tanto un error clásico de contrato inteligente como un fallo en la gestión de claves y el modelo de confianza, un patrón que ha definido varios de los mayores incidentes de puentes de 2026.

Cuánto se perdió

Las empresas de seguridad BlockSec y PeckShield estimaron independientemente la pérdida en aproximadamente 1.7 millones de dólares, principalmente en USDC y ETH. Taiko no publicó una cifra de pérdidas. Los rastreadores on-chain citados por CoinDesk también señalaron que el atacante movió cerca de 2 millones de TAIKO, valorados en alrededor de 170,000 dólares, hacia el exchange MEXC. El token TAIKO cayó materialmente ese día, con informes que oscilaban entre aproximadamente el 10 por ciento y más del 20 por ciento, dependiendo del momento de la instantánea, a medida que la noticia se difundía durante un movimiento intradía.

Para ponerlo en perspectiva, esa pérdida estimada de 1.7 millones de dólares es pequeña en relación con la capitalización de mercado de TAIKO de alrededor de 14 millones de dólares el 22 de junio de 2026, según CoinGecko. El daño aquí se trata tanto de la confianza en el modelo de confianza del puente como del tamaño del robo.

Contenido, pero una advertencia para el sector

Taiko dijo que activó su Consejo de Seguridad, puso en pausa el puente y la bóveda de tokens afectados, y detuvo las retiradas a través de ellos, razón por la cual su orientación inicial de retirada ya no se aplicaba una vez que el incidente fue contenido. El equipo también dijo que fortalecería los controles en torno al registro y la verificación de los probadores.

El episodio ocurre en un año en que los puentes han vuelto a ser la superficie más explotada de las criptomonedas. Los recuentos de la industria citados por la prensa especializada sitúan las pérdidas por hacks de puentes en 2026 en cientos de millones de dólares, lideradas por el incidente de KelpDAO de aproximadamente 292 millones de dólares en abril que cubrimos en nuestro resumen de los mayores hacks DeFi de 2026. Un tema recurrente en estos incidentes es que el punto débil es cada vez más la infraestructura off-chain y la gestión de claves, no los propios contratos on-chain.

Qué hacer cuando un puente o L2 emite una advertencia

Incidentes como este son un recordatorio de que la autocustodia incluye la respuesta a incidentes. Si una red que utilizas dice a la gente que retire fondos, actúa rápida pero cuidadosamente. Donde las retiradas aún estén abiertas, mueve los fondos de vuelta a Ethereum Layer 1 o a una cadena que no esté afectada. Igual de importante, revoca los permisos de tokens que hayas concedido al puente o aplicación afectada. Desconectar tu wallet de un sitio no es lo mismo que revocar un permiso on-chain, que persiste hasta que lo cancelas, y un verificador de permisos de tokens te permite ver y revocar permisos existentes.

Antes de volver a interactuar con cualquier token después de un incidente, vale la pena volver a verificar con qué estás interactuando. Puedes ejecutar un contrato a través del Token Safety Checker de DEXTools para detectar banderas de honeypot, acuñación y propiedad, y si haces puentes regularmente, nuestra guía sobre costos y riesgos de los puentes cripto cubre lo que debes observar. Siempre confirma las instrucciones a través de los canales oficiales verificados de un proyecto, ya que los atacantes a menudo siguen un exploit con enlaces falsos de recuperación o reembolso. Este artículo es solo informativo y no constituye asesoramiento financiero.