Cuando la descentralización falla: ¿por qué las blockchains actuales recurren a 'desconectar el cable' ante una crisis?

El 30 de agosto, los validadores de Cronos congelaron toda la blockchain.

24 horas antes, Fogo hizo lo mismo, y una semana antes, Cosmos Labs emitió una notificación de emergencia a todas las cadenas que ejecutan su módulo EVM: o actualizan o se detienen.

Tres vectores de ataque completamente diferentes, tres estructuras de gobernanza on-chain distintas, pero todas terminaron en la misma solución de emergencia: detener la cadena.

Cuando llega una crisis real, la "última línea de defensa" de una red descentralizada no difiere mucho del plan de contingencia de una empresa de internet tradicional: desconectar el cable.

75 millones de dólares, 20 minutos

Lo que ocurrió en Cronos tiene un aire de déjà vu de manual.

El atacante eligió Tectonic, el protocolo de préstamos más grande y casi el único en Cronos, con un TVL de aproximadamente 121,7 millones de dólares, que representa el 46% del valor total bloqueado en DeFi de la cadena. El punto de apoyo del ataque fue el token de gobernanza de Tectonic, TONIC, un activo con una liquidez extremadamente baja.

La técnica fue muy clásica: en unos 20 minutos, el precio de TONIC se multiplicó por aproximadamente 100, y luego esos tokens "inflados" se usaron como garantía para pedir prestado dinero real del pool de préstamos: cbBTC, USDC, WETH, monedas fuertes.

El investigador on-chain Weilin Li estimó que la posición del atacante era de unos 364,6 billones de TONIC. Con un factor de garantía del 20%, su posición manipulada necesitaba alcanzar un valor de unos 375 millones de dólares para respaldar un préstamo de unos 75 millones de dólares. Esta cifra coincide perfectamente con el aumento de precio de 100 veces.

Los validadores de Cronos reaccionaron rápidamente. Cuando la cadena se congeló, el atacante solo había transferido unos 6 millones de dólares a Ethereum a través de un puente entre cadenas; los aproximadamente 60 millones de dólares restantes quedaron atrapados en la cadena que ya había dejado de producir bloques.

El CEO de Crypto.com, Kris Marszalek, declaró de inmediato en X que la aplicación y el exchange de Crypto.com no se vieron afectados y que el equipo de seguridad estaba ayudando en la investigación.

Fue una contención de pérdidas exitosa, pero también expuso una realidad incómoda: Cronos pudo coordinar una parada tan rápida precisamente porque su conjunto de validadores es lo suficientemente pequeño.

Cronos se basa en el consenso Tendermint, con un máximo de 100 validadores y un número activo real aún menor. Esto hace que la coordinación de emergencia sea eficiente, pero también hace que la palabra "descentralización" sea delicada.

En octubre de 2022, Avraham Eisenberg utilizó una técnica casi idéntica para extraer más de 100 millones de dólares de Mango Markets en Solana.

El método fue el mismo: manipular el precio del token de baja liquidez MNGO y luego pedir prestado activos reales con una garantía inflada. Eisenberg fue arrestado posteriormente y condenado por fraude de materias primas. El precedente legal quedó establecido: incluso si el atacante siguió técnicamente las reglas del propio protocolo, manipular el precio de un token DeFi constituye un delito penal.

Hace tres días, el protocolo de préstamos Moonwell en la red Base acababa de perder unos 8,7 millones de dólares por exactamente el mismo patrón de ataque. El atacante manipuló el precio del token de baja liquidez MAMO y pidió prestado cbBTC y USDC. Este fue el tercer incidente de seguridad relacionado con oráculos de Moonwell en 11 meses.

El guion de Mango Markets se ha repetido desde 2022 hasta 2026, cambiando de dos cadenas y de tres nombres de token, pero la lógica central no ha cambiado ni una palabra.

Que un protocolo de préstamos DeFi liste un token de baja liquidez como garantía es como si un banco aceptara como prenda un cuadro sin autenticar por una autoridad: el precio no es lo que importa, sino si se puede vender.

La cadena funcionaba con normalidad, 15 horas después se detuvo

El caso de Fogo es aún más intrigante.

En la noche del 29 de agosto (9:13 PM hora del este), la Fundación Fogo publicó en X que un atacante desconocido había "comprometido" la fundación, lo que provocó la transferencia de 400 millones de tokens FOGO a los malhechores. La fundación notificó a los exchanges y a las fuerzas del orden, y enfatizó que "la blockchain de Fogo en sí no se vio afectada y continúa funcionando con normalidad".

400 millones de FOGO representan el 4% del suministro total de génesis (10 mil millones de tokens), pero más del 10% del suministro circulante actual. Al precio de FOGO de aproximadamente 0,0075 dólares en el momento del incidente, el valor era de unos 3 millones de dólares. La cifra no es grande, pero que el 10% del suministro circulante caiga repentinamente en manos de un atacante, para una L1 con una capitalización de mercado ya baja, constituye un riesgo sistémico.

Es interesante la reacción de Bitget: el exchange suspendió los depósitos y retiros de FOGO aproximadamente una hora antes de la divulgación oficial de Fogo, con el motivo de "mantenimiento de la billetera". KuCoin siguió poco después. El olfato de los exchanges fue más agudo que el anuncio del proyecto.

Lo que ocurrió después es la clave: después de que la fundación dijera que "la cadena funciona con normalidad", unas 15 horas después, Fogo detuvo la red principal. El anuncio decía que la pausa era para evitar una mayor transferencia de los activos afectados, y que los validadores actualizarían la red para "restringir las direcciones relacionadas con actividades no autorizadas".

De "no pasa nada" a "desconectar el cable", solo hubo una noche de diferencia.

La fundación aún no ha revelado el vector de ataque ni ha explicado si los tokens robados provenían de las reservas operativas o de las tenencias de tesorería. La pregunta más crítica es: si Fogo puede detener toda la cadena y congelar direcciones específicas mediante la coordinación de validadores, ¿cómo se define exactamente su grado de descentralización?

Un bug, seis cadenas, cuatro meses

La historia de Cosmos EVM es un horror de otra dimensión.

No es un problema de una cadena en particular, sino una vulnerabilidad a nivel de cadena de suministro en una base de código compartida. Cosmos EVM es un módulo de código abierto que permite a las blockchains basadas en Cosmos SDK ejecutar contratos inteligentes compatibles con Ethereum. Cualquier cadena que adopte este módulo hereda el mismo defecto de código.

La vulnerabilidad es un error de subdesbordamiento de enteros: cuando el monto delegado de una cuenta de vesting excede su saldo gastable, el sistema no reporta un error, sino que hace que el saldo "se desborde" a un número astronómico cercano a 2 elevado a 256. El atacante no necesita permisos de administrador; solo necesita construir una transacción especial para que cualquier cuenta tenga de repente un saldo casi infinito.

La línea de tiempo es inquietante.

El 25 de abril, un investigador informó de este defecto a través del programa de recompensas por errores de Cosmos Labs. La conclusión del equipo de pruebas fue que las redes de producción no se veían afectadas. La corrección se envió como una actualización de rutina, sin marcarla como crítica para la seguridad, sin publicar un aviso de vulnerabilidad y sin notificar a los operadores de las cadenas downstream.

El 13 de agosto, el equipo confirmó internamente que todas las cadenas Cosmos EVM estaban afectadas. El 19 de agosto, se publicó la versión corregida. El 20 de agosto, solo un día después de la corrección, el primer ataque cayó sobre MANTRA. En los cinco días siguientes, el ataque se extendió a seis cadenas, incluidas MANTRA, TAC y KiiChain, con una pérdida total de unos 5,72 millones de dólares.

En la respuesta de emergencia, Cosmos Labs contactó a 40 cadenas y descubrió 11 implementaciones de Cosmos EVM que antes no estaban en su lista de registro. En un ecosistema con más de 115 cadenas públicas, el hecho de que el mantenedor no sepa quién está usando su código es en sí mismo más aterrador que la vulnerabilidad.

El 24 de agosto, Cosmos Labs publicó una declaración pública en X recomendando a todas las cadenas que ejecutan el módulo Cosmos EVM que exijan a sus validadores detenerse. La corrección es a nivel de cambio de estado (state-breaking) y requiere una actualización coordinada; a las cadenas que no puedan actualizarse de inmediato se les recomendó detener la cadena directamente.

No es la primera vez. En enero de 2026, un atacante explotó una vulnerabilidad de precompilación ICS20 en la misma base de código y robó unos 7 millones de dólares de la red EVM de Saga. La misma base de código, el mismo año, dos incidentes de seguridad a nivel de cadena de suministro.

El modelo de compartir código abierto tiene enormes ventajas en eficiencia, pero en seguridad también significa que un bug puede propagarse como una enfermedad infecciosa por todo el ecosistema. La industria del software tradicional tiene mecanismos maduros para esto, como números CVE, avisos de seguridad obligatorios y ventanas de parches para los downstream. Cosmos Labs se saltó casi todos estos pasos en este incidente.

La misma propiedad, dos valoraciones

BeInCrypto, al informar sobre la parada de Cronos, citó una expresión precisa: una cadena que se puede apagar es también una cadena en la que se pueden recuperar los fondos.

Después de la parada de Cronos, el token CRO subió aproximadamente un 4-5%. El mercado estaba valorando la "contención exitosa de pérdidas". Unos 60 millones de dólares en activos robados siguen atrapados en la cadena; si los validadores optan por revertir o incluir en listas negras, estos fondos podrían recuperarse. Pero los depositantes de Tectonic aún no han recibido ninguna promesa de compensación.

Después de la parada de Fogo, el precio de FOGO ya ha caído un 18-20%. Si los 400 millones de tokens en manos del atacante pueden congelarse depende de lo que signifique técnicamente "restringir direcciones", algo que Fogo aún no ha explicado. Y el 26 de septiembre se acerca un desbloqueo de unos 1.540 millones de FOGO (15,44% del suministro total); la coincidencia temporal hace que la confianza del mercado sea aún más frágil.

En el caso de Cosmos EVM, MANTRA reanudó la producción de bloques después de unas 30 horas de parada, afirmando que los saldos de los usuarios no se vieron afectados. TAC se detuvo en el bloque 24.671.475 el 22 de agosto y, al cierre de esta edición, aún no se ha recuperado. KiiChain confirmó 18 ataques, con una pérdida de unos 148 millones de KII.

Tres cadenas, ante la misma vulnerabilidad, terminaron en tres desenlaces diferentes.

En el primer semestre de 2026, Blockaid informó de pérdidas por incidentes de seguridad on-chain superiores a 1.100 millones de dólares, en 212 incidentes. Las estadísticas de CertiK son aún más altas: 344 incidentes, con pérdidas de unos 1.310 millones de dólares, superando el total de todo el año 2025.

Estas cifras configuran una realidad: los problemas de seguridad de las redes criptográficas no están mejorando, sino empeorando.

Las técnicas de ataque se reutilizan y evolucionan constantemente, pero los mecanismos de defensa no han seguido el ritmo. La fijación de precios por oráculos de tokens de baja liquidez y la auditoría de seguridad de bases de código compartidas siguen siendo dos puntos débiles sistémicos.

La única solución de respaldo es "detener la cadena", lo que en sí mismo es una señal: la arquitectura de seguridad de la generación actual de redes criptográficas está lejos de estar preparada para soportar la visión de desconfianza que proclaman. En cuanto a qué hacer después de detener la cadena —revertir, incluir en listas negras o reiniciar tal cual—, cada opción tiene sus propias consecuencias y efectos de precedente. Esto no es una elección técnica, es una decisión de gobernanza, y la gobernanza siempre ha sido lo que el mundo criptográfico menos sabe discutir en público.

Enlace original