¿Qué es un puente entre cadenas y por qué se hackean los puentes?

Un puente entre cadenas mueve activos o mensajes de una blockchain a otra, normalmente bloqueando tokens en la cadena original y emitiendo un token equivalente en la cadena de destino. Los puentes son hackeados con frecuencia porque esos fondos bloqueados acumulan grandes sumas, y cualquier mecanismo que apruebe los retiros de ellos se convierte en un único punto de fallo.

Por qué se necesitan los puentes

Las blockchains se construyen como sistemas independientes con sus propias reglas. Bitcoin no puede leer Ethereum de forma nativa, y Ethereum no puede leer Solana de forma nativa. Si tienes ETH en Ethereum y quieres usarlo en una red de capa 2 u otra cadena, algo tiene que transportarlo. Nuestra guía sobre blockchains de capa 1 frente a capa 2 explica por qué existen tantas redes.

Cómo los puentes mueven activos

Bloquear y acuñar (lock and mint). Envías tokens a un contrato en la cadena A, donde quedan bloqueados. Luego el puente acuña la misma cantidad de una versión “envuelta” (wrapped) en la cadena B. Para volver, los tokens envueltos se queman y los originales se liberan. El token envuelto solo vale lo que afirma mientras los originales bloqueados realmente estén ahí.

Figura: El modelo de bloquear y acuñar. El token envuelto vale solo lo que valga el colateral bloqueado y quien apruebe los retiros.

Quemar y acuñar (burn and mint). Para tokens que el emisor controla en varias cadenas, el token se destruye en una cadena y se crea en otra, sin un fondo de activos bloqueados de por medio.

Redes de liquidez. El puente mantiene fondos del mismo activo en ambos lados. Depositas en la cadena A y recibes tokens del fondo en la cadena B, normalmente más rápido, mientras el puente reequilibra los fondos en segundo plano.

Puentes nativos de rollups. Los rollups de capa 2 tienen sus propios puentes hacia Ethereum que dependen de la seguridad de Ethereum y no de un grupo externo de firmantes. Generalmente se consideran la ruta más segura, pero los retiros desde rollups optimistas pueden tardar alrededor de una semana.

Qué ocurre al usar un puente, paso a paso

Usar un puente típico de bloquear y acuñar para mover un token de la cadena A a la cadena B funciona así:

1. Aprobar y depositar. Tu billetera aprueba que el contrato del puente tome el token y lo envía, pagando una comisión de red en la cadena A.
2. Esperar la confirmación. El puente espera a que el depósito sea suficientemente definitivo en la cadena A, lo que puede tardar desde segundos hasta varios minutos según la red.
3. Verificación. Los operadores del puente o su sistema de verificación confirman el depósito y autorizan una cantidad equivalente en la cadena B.
4. Acuñar y recibir. Se acuña una versión envuelta del token en tu dirección en la cadena B. Es posible que necesites un poco de la moneda nativa de la cadena B para pagar las transacciones allí.

Pueden aplicarse comisiones en cada paso, y el token envuelto que recibes es un derecho sobre los originales bloqueados, no los originales en sí.

Puentes con confianza frente a puentes de confianza minimizada

La pregunta clave sobre cualquier puente es quién decide que un depósito en la cadena A realmente ocurrió.

• Los puentes con confianza dependen de un grupo de operadores, a menudo un pequeño conjunto multifirma, para confirmar las transferencias. Son rápidos y sencillos, pero si se roban suficientes de esas claves, el atacante puede aprobar retiros falsos.
• Los puentes de confianza minimizada dependen de código y pruebas criptográficas que la cadena de destino puede verificar por sí misma. Reducen la dependencia de cualquier grupo único, pero añaden complejidad técnica, y los errores en los contratos inteligentes siguen siendo un riesgo.

Por qué se hackean los puentes

Acumulan grandes fondos. Todos los tokens bloqueados están en un mismo lugar, lo que convierte a los puentes en uno de los objetivos más valiosos del mundo cripto.

Pocas claves pueden controlar mucho. En marzo de 2022, atacantes obtuvieron el control de cinco de las nueve claves de validadores que aseguraban el puente de Ronin y retiraron unos 620 millones de dólares en ETH y USDC. Nuestro artículo sobre el hackeo del puente de Ronin repasa lo ocurrido. El robo récord anterior, de unos 611 millones de dólares a Poly Network en agosto de 2021, también involucró a un protocolo entre cadenas.

Código complejo entre dos sistemas. Los puentes deben interpretar correctamente los eventos de una cadena en otra. Los errores en esa lógica, como aceptar un mensaje falsificado, pueden permitir a los atacantes acuñar tokens sin nada bloqueado que los respalde.

Detección lenta. Una retirada maliciosa puede parecer una normal. En el caso de Ronin, el robo pasó desapercibido durante unos seis días.

Formas de mover activos entre redes comparadas

Wrapped bitcoin: un ejemplo conocido

Bitcoin no puede ejecutar los contratos inteligentes de Ethereum, por lo que, para usar bitcoin en aplicaciones de Ethereum, los usuarios poseen tokens de wrapped bitcoin en Ethereum. Cada token debe estar respaldado por bitcoin real custodiado por un custodio o un grupo de firmantes. El token sigue el precio de bitcoin solo mientras exista ese respaldo y pueda canjearse. Por tanto, mantener wrapped bitcoin añade riesgo de custodio o de puente al riesgo de precio propio de bitcoin, una compensación que conviene entender antes de tratarlo como si fuera lo mismo que tener bitcoin.

Qué ocurre con los tokens envueltos tras un hackeo

Si el colateral bloqueado es robado, los tokens envueltos en la otra cadena pueden dejar de estar respaldados. Su precio de mercado puede caer bruscamente, y que los titulares sean compensados depende de la respuesta del proyecto. Ese riesgo es independiente del riesgo de precio del propio activo.

Cómo usar un puente con más seguridad

• Prefiere puentes nativos u oficiales recomendados por la red a la que te diriges.
• Verifica con cuidado la dirección del sitio web del puente; los sitios falsos de puentes son una trampa de phishing habitual. Nuestra guía para detectar sitios web falsos de exchanges de criptomonedas también se aplica aquí.
• Envía una prueba pequeña antes de una transferencia grande.
• Entiende qué vas a recibir. Un token envuelto es un derecho sobre activos bloqueados, no el activo original.
• Considera una ruta centralizada. Para muchos usuarios, depositar en una red y retirar en otra a través de una plataforma regulada evita por completo los contratos de puentes, siempre que ambas redes sean compatibles. Nuestra guía sobre cómo elegir la red blockchain correcta explica ese proceso.

Este artículo es contenido educativo y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Los activos digitales son volátiles y podrías perder el importe que inviertas.

Para ver cómo encajan los puentes junto a wallets, oráculos y nodos, consulta qué es Web3.

Fuentes

• Introducción a los puentes blockchain — ethereum.org
• 620 millones de dólares en criptomonedas robados del puente Ronin de Axie Infinity (comparación con Poly Network) — BleepingComputer, marzo de 2022
• Optimistic Rollups (periodo de desafío de retiradas) — Documentación para desarrolladores de ethereum.org