Hackers atacan el producto obsoleto de Aztec por segunda vez en una semana
El protocolo de privacidad Aztec sufrió un exploit de aproximadamente 2,16 millones de dólares dirigido a un producto de pago obsoleto. El ataque, vinculado a una vulnerabilidad de validación, ocurrió cuatro días después de un hackeo similar de 2,1 millones de dólares, lo que genera preocupación sobre la seguridad de contratos inteligentes antiguos pero aún en uso.
Análisis breve: ¿Qué está pasando realmente?
A primera vista, lo que le sucedió a Aztec es solo otro hackeo a un protocolo DeFi —ha habido más de 30 en 2026, con fondos robados que superan los 600 millones de dólares. Sin embargo, el doble ataque a contratos obsoletos que aún contienen activos revela un problema sistémico que amenaza no solo a Aztec, sino a toda la filosofía de la descentralización. Se trata de "riesgos heredados"—bombas de tiempo incrustadas en la arquitectura de los primeros protocolos DeFi que sus creadores, en busca de la máxima descentralización, hicieron ingobernables e inmunes a parches, pero no a los ataques.
Entre el 14 y el 17 de junio de 2026, los hackers robaron más de 4,3 millones de dólares de Aztec atacando dos contratos inteligentes diferentes e igualmente indefensos que fueron desactivados en 2022 y 2023. El primer hackeo afectó a Aztec Connect; el segundo, a Private Rollup Bridge. Aunque la fundación Aztec se apresuró a asegurar al mercado que la red actual y el token AZTEC no se vieron afectados, el precio del token aún cayó aproximadamente un 1,6%, lo que demuestra que la confianza de los inversores está quebrantada y no distinguen entre la infraestructura "antigua" y la "nueva" del proyecto.
Cronología y contexto
El primer incidente ocurrió el 14 de junio de 2026, cuando un atacante encontró una vulnerabilidad en el contrato de Aztec Connect, que fue cerrado oficialmente en marzo de 2023. Fue un ataque clásico a un desajuste en el proceso de verificación de pruebas de conocimiento cero. El sistema de verificación de pruebas procesaba transacciones en lotes de 32, mientras que el código de liquidación en cadena procesaba solo el número de transacciones declaradas en el lote. El hacker explotó este desajuste para crear 14 lotes falsos y retirar aproximadamente 909 ETH, 270.513 DAI y otros activos, incluido wstETH, por un total de aproximadamente 2,19 millones de dólares. Al día siguiente, 15 de junio, se utilizó la misma técnica para retirar otros 88.000 dólares de posiciones restantes en puentes DeFi.
Sin embargo, lo más alarmante fue el segundo incidente, ocurrido solo tres días después, el 17 de junio. Esta vez, el objetivo fue Private Rollup Bridge, un puente antiguo lanzado en 2021 y cerrado en 2022. El exploit estaba relacionado con la función de retiro de emergencia escapeHatch() en el contrato RollupProcessor. Esta función fue diseñada para retiros de emergencia en caso de fallo del proceso principal, pero resultó carecer de verificaciones de autorización críticas, incluida la verificación de firmas. El hacker explotó la vulnerabilidad estableciendo el parámetro rollupSize en 0, lo que hizo que el validador aceptara una prueba falsa y retirara 1.158 ETH, 150.000 DAI y 0,46 renBTC por valor de aproximadamente 2,16 millones de dólares.
Por lo tanto, los ataques difirieron en técnica y se dirigieron a diferentes contratos, pero compartieron un problema fundamental: ambos contratos eran inmutables y el equipo de Aztec no tenía claves administrativas para detenerlos o actualizarlos.
Quién gana y quién pierde
En esta situación, hay perdedores tanto obvios como implícitos, así como aquellos que pueden beneficiarse de la desgracia ajena.
Perdedores: Usuarios y tenedores de activos. La pérdida directa de 4,3 millones de dólares son fondos de usuarios reales que, por alguna razón, no retiraron sus activos de contratos obsoletos a pesar de que el equipo de Aztec lo advirtió desde 2024. Estas personas no solo perdieron dinero, lo perdieron en un sistema diseñado como garante de seguridad.
Perdedores: La reputación de Aztec y el segmento de zk-rollups privados. Aunque el hackeo técnicamente no afectó a la red actual de Aztec, es un golpe serio a la confianza en todo el proyecto y en la tecnología en su conjunto. Los inversores comienzan a preguntarse: "Si los desarrolladores no pueden proteger los contratos antiguos, ¿cómo protegerán los nuevos?" Activos riesgosos como AZTEC muestran una mayor volatilidad en respuesta a tales noticias.
Perdedores indirectos: Toda la industria DeFi. Estos hackeos ocurren en medio de una tendencia preocupante: según DefiLlama, solo en la primera mitad de junio de 2026, las pérdidas de los protocolos DeFi superaron los 43 millones de dólares. Incidentes con Aztec, Thetanuts Finance y otros proyectos crean una narrativa de "DeFi como el Salvaje Oeste", lo que podría empujar a los reguladores hacia acciones aún más estrictas. Esto es particularmente inoportuno dado el plazo de MiCA.
Ganadores: Proyectos competidores y protocolos de seguros. Proyectos como zkSync, StarkNet o Polygon, que ofrecen soluciones más manejables y actualizables, pueden usar esta situación como argumento a favor de su arquitectura. Mientras tanto, los protocolos de seguros DeFi (por ejemplo, Nexus Mutual) pueden ver una mayor demanda de sus pólizas a medida que el mercado reconoce nuevos riesgos.
Ganadores: Empresas especializadas en seguridad blockchain. Cada nuevo hackeo significa contratos para firmas como PeckShield, SlowMist y BlockSec, que realizan investigaciones y auditorías. Se vuelven críticas para la supervivencia de todo el ecosistema.
Lo que los medios no están diciendo
Los artículos superficiales se centran en los hechos del hackeo y los montos de los daños, pero pasan por alto varios aspectos fundamentales con implicaciones más profundas.
Perspectiva #1: La inmutabilidad como el "talón de Aquiles" de la descentralización. Cuando Satoshi Nakamoto creó Bitcoin, la idea del código inmutable era una piedra angular de la confianza. Sin embargo, para protocolos DeFi complejos, la inmutabilidad se convierte en una maldición. Los proyectos renuncian a la propiedad para demostrar descentralización, pero terminan creando "ruinas digitales"—contratos que nadie puede arreglar. El analista blockchain Blockful señaló acertadamente: "Los contratos antiguos se convierten en objetivos abiertos para los hackers, y cuando los protocolos se desligan de su mantenimiento, se vuelven objetivos aún más atractivos." Aztec dio este paso en abril de 2024 para permitir que los usuarios retiraran fondos de forma independiente sin la participación del equipo. Esta decisión ahora parece un error costoso.
Perspectiva #2: El fallo técnico no es el único problema. El segundo hackeo fue posible debido a una vulnerabilidad en el mecanismo de "válvula de escape". Esto no es solo un error de código; es un defecto arquitectónico fundamental que solo podría detectarse y corregirse con control activo. En efecto, el equipo de Aztec creó una "puerta trasera" en el sistema, luego entregó las llaves—y no verificó si la puerta estaba cerrada. Esto no fue solo una falla en la verificación de pruebas; fue una falla en el diseño de la seguridad económica del sistema.
Perspectiva #3: Una señal al mercado: ¿Cuánto podemos confiar en los protocolos "antiguos" y "probados"? El mercado está acostumbrado a pensar que cuanto más tiempo funciona un contrato inteligente y más fondos ha procesado, más seguro es. La serie de hackeos a Aztec demuestra lo contrario: con el tiempo, los contratos obsoletos se vuelven más vulnerables, no menos, porque no se adaptan a nuevos métodos de ataque y su código fuente se convierte en objeto de estudio intensivo por parte de los hackers. Los analistas de SlowMist ya han advertido que los contratos antiguos que contienen activos se están convirtiendo en una "bomba de tiempo" permanente.
Pronóstico: Próximos 30 días y 90 días
Pronóstico a 30 días (julio de 2026): Pánico entre los tenedores de activos "olvidados". Julio de 2026 verá una "limpieza" de contratos antiguos. Los usuarios que aún no han retirado fondos de protocolos desactivados (no solo Aztec, sino otros) comenzarán a retirar masivamente, temiendo ataques similares. Esto creará presión adicional en el mercado, no tanto en los precios sino en la liquidez de los activos secundarios. Además, veremos una mayor actividad de las firmas de auditoría que ofrecen "auditorías de emergencia" de contratos antiguos.
Pronóstico a 90 días (septiembre de 2026): Respuesta regulatoria y cambio de paradigma. Dado el contexto general de endurecimiento regulatorio en la UE (MiCA) y EE. UU., tales incidentes se convertirán en "alimento" para los legisladores. Podrían surgir requisitos para que los protocolos no solo desactiven, sino que "congelen" o destruyan contratos antiguos, o que proporcionen cobertura de seguro para los fondos que quedan en ellos. El mercado reaccionará con una mayor capitalización de los proyectos que ofrecen contratos inteligentes manejables y actualizables, y un menor interés en protocolos radicalmente descentralizados pero ingobernables.
Pronóstico editorial
En las próximas 24–72 horas, esperamos una presión bajista continua sobre el token AZTEC, que ya ha perdido un 1,6% tras las noticias del hackeo. El nivel de soporte clave es $0,015; si se rompe, es posible una corrección a $0,014. El nivel de confianza es medio, ya que el principal riesgo para el pronóstico es que Aztec Labs o la fundación anuncien un programa de compensación para los usuarios afectados, lo que podría estabilizar temporalmente el precio. Sin embargo, fundamentalmente, la confianza en el proyecto está socavada, y sin noticias positivas sobre el desarrollo de la red principal, es poco probable una recuperación del token a corto plazo. Esta es la opinión editorial, no una recomendación de inversión.
— Editorial Team
