Blog

La firma de seguridad V12 Security reveló que a finales de abril pasado encontró una vulnerabilidad crítica en el protocolo de intercambios (swaps) THORChain que permitía a un solo operador de nodo validador robar fondos de los pools de liquidez del protocolo. El hallazgo, aunque no implicó la misma falla, ocurrió semanas antes del hackeo de USD 10 millones sufrido por la plataforma el 15 de mayo.

THORChain habría aplicado el parche en silencio, sin comunicación pública, y notificó a la firma que su programa de recompensas por reporte de vulnerabilidades (conocido como bug bounty) estaba «permanentemente retirado», según explicaron investigadores de V12 Security este 1 de junio.

ZachXBT, el investigador on chain que había alertado sobre el hackeo de mayo, reaccionó con una crítica directa al protocolo: «Uno esperaría que después de todos los exploits que tuvieron, la seguridad se tomara más en serio. Sin embargo, THORChain sigue bajando el listón».

THORChain lleva dos semanas con la red detenida a raíz del hackeo del 15 de mayo, que involucró una vulnerabilidad distinta a la reportada por V12 Security. El fallo, como lo explicó CriptoNoticias, ocurrió a nivel del GG20 TSS, el esquema criptográfico que permite a los nodos del protocolo firmar transacciones en conjunto.

Desde THORChain comunicaron el 27 de mayo que la versión de software necesaria para reanudar operaciones (la v3.19.0) debe completar pruebas antes de llegar a la red principal, sin fecha confirmada.

¿Cómo funcionaba el fallo y qué podía perder un usuario?

THORChain opera con activos de distintas redes (bitcoin, ether, entre otros) que los usuarios depositan para hacer intercambios. Antes de ejecutar un swap, el protocolo espera que la transacción origen alcance un número mínimo de confirmaciones en su cadena: para bitcoin, por ejemplo, 10 bloques. Ese requisito existe para garantizar que el depósito sea irreversible antes de liberar los fondos del lado de THORChain.

El fallo reportado por V12 Security permitía eludir ese requisito. Cada validador de THORChain firma criptográficamente su observación de una transacción externa (una firma de atestación que certifica que el depósito fue visto), pero esa firma solo cubre los datos básicos de la transacción, como los montos y las direcciones. Los campos que registran si la transacción alcanzó las confirmaciones necesarias quedaban fuera de la firma y podían ser modificados libremente.

¿Cómo se ejecutaba el ataque?

Según el informe de V12 Security, en THORChain los validadores se turnan para proponer bloques con una rotación predecible y determinista.

En el contexto de la vulnerabilidad encontrada por los investigadores, un validador malicioso podría, cuando le tocara el turno, tomar las observaciones firmadas por otros nodos honestos sobre una transacción aún no confirmada, alterar los campos de finalidad para indicar que la transacción ya estaba completa e inyectarla en el bloque.

De acuerdo con el mismo informe, la etapa de validación del bloque no verificaría esa finalidad, ya que solo comprobaría que las transacciones pudieran leerse correctamente. Las firmas de los validadores honestos seguirían siendo válidas porque los campos alterados nunca estuvieron cubiertos por ellas.

El resultado, según V12 Security, sería que THORChain ejecutaría el intercambio de inmediato y liberaría los fondos del pool hacia el atacante, antes de que el depósito original hubiera alcanzado las confirmaciones requeridas. El atacante podría entonces revertir ese depósito y quedarse con ambos lados del intercambio.

V12 Security demostró el ataque en un entorno de prueba controlado con cuatro validadores activos. En esa prueba de concepto (una demostración técnica que verifica que la vulnerabilidad es real y explotable) una transacción de Bitcoin con una sola confirmación, cuando se requerían diez, fue procesada como si estuviera completa. El pool simulado perdió el equivalente a más de 82.000 millones de unidades de RUNE (token nativo de THORChain).

El ataque, aseguran desde V12 Security, requería controlar un único nodo validador activo, sin necesidad de acceder a claves de otros validadores ni ocupar una posición especial en la red.

Un historial de reportes sin pago

La firma de seguridad QED Audit informó a THORChain en enero pasado de dos vulnerabilidades en el protocolo mientras el programa de bug bounty aún estaba activo: una que habría permitido el robo de activos por más de USD 40 millones y otra que habría permitido vaciar todos los bonos de RUNE de los validadores, según explicaron.

De acuerdo con QED Audit, ambos fallos fueron corregidos antes de la versión 3.15.0, publicada el 29 de enero, pero la firma tampoco recibió el pago de recompensa. «No vamos a abogar por la divulgación abierta porque creemos que la divulgación responsable debe mantenerse separada de las disputas por compensación», señaló la firma, que igualmente publicó los detalles técnicos de los fallos.

THORChain no emitió ningún comunicado público sobre estas vulnerabilidades ni sobre la eliminación de su programa de bug bounty. El comunicado del 27 de mayo informó que la librería criptográfica central del protocolo, tss-lib, fue temporalmente puesta en código cerrado para que el equipo de seguridad interno THORSec complete una auditoría sin exponer el trabajo de remediación en curso.

Luego de haber sufrido el exploit a mediados de mayo que le implicó una pérdida de USD 10 millones, el protocolo de intercambios promete una reapertura «segura y estable» sin fecha confirmada.

El precio de bitcoin (BTC) cae en la tarde de este martes 2 de junio de 2026 a la zona cercana a 67.000 dólares.

En el siguiente gráfico puede verse cómo se ha movido el precio de la moneda digital durante los últimos 7 días:

Esta misma mañana, CriptoNoticias reportaba que la moneda digital había perdido el soporte de 70.000 dólares. Aunque, tal como se explicó allí, la caída fue multicausal (provocada, entre otras razones, por aumento de las tensiones en Medio Oriente y por salidas masivas de capital desde los ETF de bitcoin), resulta llamativo que ocurre pocas horas después de que Strategy (la compañía de cotización pública con más bitcoin en su poder) anunciara la venta de 32 BTC.

¿Tanto problema por solo 32 BTC? 32 bitcoin representan el 0,0037% de las tenencias de Strategy. En términos estrictamente financieros, la operación es insignificante. Pero los mercados no leen balances: leen señales. Y esta fue una señal que muchos no esperaban (o no querían) ver.

Strategy no es simplemente el mayor tenedor corporativo de bitcoin. Es, sobre todo, un comprador. Un comprador casi mitológico que durante años construyó su identidad alrededor de una sola convicción: acumular BTC sin importar el precio, sin importar el contexto macroeconómico, sin importar las presiones del mercado.

Michael Saylor transformó esa convicción en narrativa, y la narrativa en precio. Cada anuncio de compra era un voto de confianza que el mercado procesaba como un piso implícito.

El problema no es lo que Strategy hizo, sino lo que dejó de ser en el imaginario colectivo del mercado: el comprador eterno.

Durante años, cuando el precio caía, existía cierto consuelo en saber que del otro lado había una empresa dispuesta a comprar más y —según se creía— nunca vender. Esa certeza, aunque nunca fue garantía de nada, funcionaba como un ancla psicológica. La venta, por pequeña que fuera, agrietó esa imagen.

Además, el momento importa tanto como el acto. Strategy no vendió en un mercado alcista, cuando habría pasado desapercibido. Vendió en medio de una corrección que ya acumula semanas, con los ETF de bitcoin registrando su peor racha de salidas desde su lanzamiento y con un contexto geopolítico que empuja a los inversores hacia activos refugio. En ese escenario de fragilidad, la noticia no necesitaba ser grande para hacer ruido.

El precedente también inquieta. Si Strategy —con el músculo financiero que construyó, con la estructura de capital diseñada específicamente para sostener esta estrategia— empieza a vender para cumplir obligaciones, la pregunta inevitable es qué ocurre con las empresas que la imitaron con menor margen de maniobra. La tesis de «comprar bitcoin y mantener para siempre» empieza a mostrar sus flaquezas.

Los analistas saben que el pánico se expande rápidamente y por eso se han reactivado proyecciones bajistas que hace tan solo unas pocas semanas parecían olvidadas. Tal como CriptoNoticias reportó, varios traders influyentes ven viable que la moneda digital caiga hasta 40.000 o 45.000 dólares en este ciclo.

Es probable que Strategy continúe acumulando bitcoin a largo plazo. Saylor ya lo aclaró. Y es probable que estos 32 BTC queden como una anécdota menor en la historia de la compañía. Pero en los mercados, la confianza se construye despacio y se erosiona rápido.

Lo que se rompió hoy no fue la posición de Strategy, sino la certeza de que nunca vendería. Y esa certeza, una vez perdida, no se recupera con un comunicado.