Un fallo en la verificación de mensajes del bridge entre Polkadot y Ethereum permitió a un atacante tomar control administrativo del contrato y emitir tokens sin respaldo. La red principal de Polkadot no fue afectada.
El 13 de abril de 2026, un atacante explotó una vulnerabilidad en el contrato gateway de Hyperbridge, el bridge que conecta Polkadot con Ethereum. A través de un mensaje cross-chain falsificado, logró burlar el sistema de verificación de pruebas del protocolo, consiguiendo privilegios de administrador del contrato del token DOT bridgeado en Ethereum.
Con ese acceso, mintió 1.000 millones de DOT falsos en una sola transacción y los vendió de inmediato a través del agregador Odos Router hacia un pool DOT-ETH en Uniswap V4, obteniendo 108,2 ETH, equivalentes a aproximadamente $237.000. El costo de gas del ataque fue inferior a un dólar.
Cómo funcionó el ataque
El núcleo del exploit estuvo en la función handlePostRequests del contrato HandlerV1, que procesa mensajes entrantes desde otras cadenas. El atacante envió un “proof” falso que no fue correctamente validado.
La operación completa se ejecutó en una sola transacción: falsificación del mensaje, toma de control del contrato, mint de 1.000 millones de tokens y venta inmediata. El valor nominal de los tokens superaba los 1.200 millones de dólares, pero la liquidez escasa del pool limitó el beneficio real a $237.000.
El exploit impactó exclusivamente al DOT bridgeado a través de Hyperbridge en Ethereum. La red principal de Polkadot, el DOT nativo, las parachains y otros bridges del ecosistema no fueron comprometidos. Hyperbridge pausó sus operaciones inmediatamente tras detectar el incidente.
El precio del DOT nativo cayó entre un 4% y un 7% en los minutos posteriores al ataque, impulsado por el pánico del mercado. El volumen de operaciones alcanzó un máximo de 18 días, con alrededor de $275 millones negociados.
Un problema estructural que persiste
Hyperbridge se posicionaba como un bridge de nueva generación basado en pruebas criptográficas, sin depender de comités multisig como los modelos anteriores. El argumento era que, al verificar el estado de la cadena de origen matemáticamente, se eliminaba el riesgo humano. Este ataque demuestra que ese modelo también tiene puntos de falla.
Los bridges siguen siendo el eslabón más vulnerable de la arquitectura multichain. En lo que va de 2026 ya se han registrado varios exploits de este tipo: en febrero, CrossCurve perdió alrededor de $3 millones a través de contratos relacionados con Axelar; en marzo, el protocolo Drift en Solana sufrió un drenaje de $270 millones.
El patrón se repite: falla en la validación de mensajes cross-chain, control administrativo comprometido, mint o drenaje de activos. La pregunta que queda abierta no es si los bridges pueden ser seguros, sino si la industria está dispuesta a ralentizar el tiempo de despliegue para auditarlos con la profundidad que requieren.