Los 220 millones de dólares robados de Kelp DAO casi se han lavado por completo; el rastreo en cadena resulta inútil frente a THORChain, Wasabi y Tornado Cash. Esto no es un caso aislado: Radiant Capital acaba de cerrar tras un ataque de 50 millones de dólares, y la vulnerabilidad de Gnosis Pay sigue desarrollándose. El libro de confianza de los puentes cruzados se está reescribiendo una y otra vez. Los hackers utilizaron THORChain para transferir 175 millones de ETH a Bitcoin, luego mezclaron y dividieron los fondos, elevando el volumen diario de THORChain a 394 millones de dólares. Las herramientas de privacidad no son nuevas, pero esta escala expone un problema estructural: cuanto más próspera sea la liquidez cruzada, más maduro se vuelve el canal de lavado de dinero para los hackers. Los 71 millones de dólares en ETH congelados ahora están envueltos en una disputa legal: las familias de las víctimas norcoreanas buscan confiscarlos como compensación. Bajo una orden judicial, aún es incierto si estos fondos podrán recuperarse. La suposición de seguridad en DeFi está deslizándose desde “el código es ley” hacia “la ley como última línea de defensa”. Para el mercado, esto no es una historia de “lo malo ya salió”. Tras cada ataque, los protocolos fortalecen sus auditorías, pero los hackers también evolucionan. El aumento en el costo de la confianza cruzada finalmente se reflejará en las tasas de financiación, el TVL y el comportamiento del usuario: ¿estás dispuesto a colocar tus activos en una red que podría ser atravesada por un canal de lavado de dinero? $btc #eth #defi #chaindata #ai

No todos los fracasos de DeFi comienzan con un hack. Firelight cubrirá tanto los fracasos técnicos como los económicos, incluyendo deuda mala e impairments estructurales en las relaciones entre activos de garantía y préstamos. Cada reclamación estará respaldada por disparadores claros y evidencia verificable en la cadena.

El programa de recompensas por errores ha recibido un alto volumen de envíos desde su lanzamiento. Para brindar a cada informe la atención que merece, estamos suspendiendo los envíos nuevos mientras procesamos la cola. Compartiremos una actualización cuando el programa se reabra. Gracias a todos los que han participado hasta ahora.

¡Hí! Solo quienes puedan pagar $1M en medidas de seguridad podrán permanecer en el mercado. > Mythos Scan detectó más de 20 vulnerabilidades críticas en el código fuente propio de Palo Alto Networks, lo que consumió más de 1 millón de dólares en tokens.

Bitcoin. No cRiPtO. “La DAO ya no tiene un camino viable hacia el futuro.” Incapaz de recuperarse del ciberataque que le costó aproximadamente 50 millones de dólares, Radiant Capital está cerrando sus puertas.

Recuperación por Whitehat: el investigador Florent se coordinó con el equipo de HongCoin para desbloquear ~1,003 ETH (~$2M) atrapados en un contrato de reembolso de ICO de 2016 debido a errores heredados en la lógica de desbordamiento/reembolso. #Ethereum #SmartContractSecurity

Reentrancy descifrada: el bug del contrato inteligente que sigue drenando millones en 2026, y el patrón Checks-Effects-Interactions que lo detiene en el código La reentrancia no es magia. Es un error de orden: tu contrato actualiza su propio estado DESPUÉS de realizar una llamada externa en lugar de antes, y un atacante llama de nuevo durante ese intervalo. Corrige el orden y el bug desaparece. El DAO perdió aproximadamente 3,6 millones de ETH (unos 60 millones de dólares, alrededor del 5% de todo el ETH existente en ese momento) por este error exacto el 17 de junio de 2016. Las consecuencias dividieron a Ethereum en ETH y ETC. Diez años después, sigue drenando fondos. Solv Protocol perdió $2,73 millones por una reentrancia el 5 de marzo de 2026, y aproximadamente $52 millones fueron robados en diversos protocolos onchain en mayo de 2026 (DeFiLlama vía CryptoTimes, 31 de mayo de 2026). El patrón vulnerable: leer el saldo, enviar los ETH con una llamada de bajo nivel, LUEGO establecer el saldo en cero. La función receive() del atacante vuelve a entrar en withdraw() antes de que ese cero se registre, y se repite hasta que el contrato queda vacío. Dos soluciones, usadas juntas: Checks-Effects-Interactions. Valida, actualiza TODO el estado y luego realiza la llamada externa por último. Mueve balances[msg.sender] = 0 por encima de la llamada y la llamada reentrante leerá cero y revertirá. La protección nonReentrant de OpenZeppelin. Un mutex de almacenamiento (NOT_ENTERED a ENTERED) que revierte ante la reentrada. Úsalo junto con CEI, no solo uno u otro. Dos cosas que la mayoría de los desarrolladores aún hacen mal. 1. .transfer() ya no es un escudo: el límite de 2300 gas dejó de ser un supuesto seguro cuando EIP-1884 aumentó el gas de SLOAD en 2019. Usa .call{value:}("") con CEI. 2. La reentrancia de solo lectura evade una protección estándar, porque una función view que lee durante una actualización devuelve un estado corrupto y puede envenenar un oracle de precios (dForce, $3,64 millones). Solo con fines educativos. No es asesoramiento financiero. Síguenos para obtener ideas diarias: donde la cadena de bloques se encuentra con la IA, un deslizamiento satisfactorio a la vez. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation