Un atacante del puente Aztec ha transferido 300 ETH, equivalentes a aproximadamente 572.100 dólares, a Tornado Cash, elevando así su total de depósitos en este mixer a 500 ETH tras el ataque sufrido por Aztec en junio de 2026. Este movimiento ha generado preocupación en el sector cripto, al visibilizar tanto las vulnerabilidades persistentes en la seguridad de los protocolos DeFi como el papel que continúan desempeñando las soluciones de anonimato como Tornado Cash en la circulación de fondos sospechosos.
La utilización de Tornado Cash por parte de actores maliciosos subraya la dificultad de rastrear activos robados en la blockchain y expone los desafíos regulatorios y técnicos que enfrenta la industria para identificar y frenar actividades ilícitas. Esta situación renueva el debate sobre la seguridad de los puentes de intercambio y el impacto de los mixers en la transparencia de las transacciones en el ecosistema de las criptomonedas.
Detalles del ataque a Aztec Connect y la fuga de fondos
El ataque al puente privado de Aztec tuvo lugar el 14 de junio de 2026, producto de una falla específica en la verificación de pruebas criptográficas implementadas en un contrato inteligente de Aztec Connect, un producto ya abandonado por el equipo de desarrollo. Según especialistas, la función computeRootHashes() únicamente comprobaba el inicio de los datos de prueba, omitiendo parámetros clave requeridos para la correcta administración de transferencias de tokens.
- El atacante envió siete transacciones al contrato afectado.
- El error permitió generar balances no respaldados para su posterior retiro.
- El monto total sustraído superó los 2,1 millones de dólares, incluyendo 909 ETH, 270.000 DAI y otros tokens.
- Los fondos provenían de contratos completamente inmutables, lo que impidió cualquier corrección o pausa administrativa tras el ataque.
La Fundación Aztec recalcó que este incidente no impactó ni al token AZTEC ERC-20 ni a la actual red Aztec, centrada en privacidad mediante rollups zero-knowledge y bajo una arquitectura distinta. Sin embargo, la vecindad funcional entre productos viejos y actuales acentúa la relevancia de auditar los contratos heredados y sin mantenimiento.
Tornado Cash y los retos de rastrear activos en la blockchain
Tornado Cash es un protocolo de privacidad en Ethereum que permite a los usuarios romper los vínculos entre direcciones de depósito y de retiro, dificultando así el rastreo de transacciones. Esto se logra a través de contratos inteligentes y el uso de pruebas de conocimiento cero que autentican la retirada de fondos sin revelar la fuente original. En la práctica, un depósito en Tornado Cash puede retirarse en otra dirección sin que pueda establecerse con certeza la pista entre ambas.
Si bien la privacidad es un derecho buscado por muchos usuarios legítimos, Tornado Cash ha sido consistentemente empleado por hackers para procesar fondos robados, como lo sustentan las investigaciones de diversas firmas de análisis de blockchain. Tras una serie de mega-robos asociados a colectivos como Lazarus Group, Tornado Cash fue sancionado por el Departamento del Tesoro de Estados Unidos en agosto de 2022, señalando su implicación en el supuesto lavado de más de 7.000 millones de dólares en criptomonedas desde 2019 (fuente Forbes).
| Evento | Fecha | Fondos involucrados |
| Ataque al puente Aztec | 14 junio 2026 | ~2,1 M USD |
| Depósitos acumulados del atacante en Tornado Cash | Julio 2026 | 500 ETH |
| Sanción de Tornado Cash por EE.UU. | Agosto 2022 | ~7.000 M USD (procesados) |
La acción reciente del explotador del puente Aztec al canalizar 300 ETH más hacia Tornado Cash suma presión sobre la utilidad pública del protocolo, el cual ya ha sido objeto de fuertes restricciones regulatorias, con la prohibición para usuarios estadounidenses y el congelamiento de sus activos en la plataforma. Sin embargo, la facilidad tecnológica de Tornado Cash para ofuscar el origen y destino de los fondos continúa siendo un desafío para investigadores, fuerzas del orden y exchanges.
Lecciones para la seguridad y auditoría DeFi
El incidente de Aztec Connect ilustra un típico riesgo de DeFi: los contratos inmutables abandonados con fondos residuales pueden convertirse en objetivos de ataque años después de haber sido desatendidos. Los mecanismos de verificación de pruebas criptográficas —en especial en sistemas de rollup o puentes entre cadenas— son especialmente sensibles y deben ser auditados minuciosamente, no solo durante el despliegue inicial sino de forma continua, incluyendo la revisión de productos ya discontinuados.
Además, la reaparición de Tornado Cash en noticias de hacks de alto perfil evidencia cómo la coexistencia de herramientas de privacidad y protocolos de intercambio con fallas puede potenciar la circulación de activos robados. Esta situación crea una presión añadida sobre desarrolladores y plataformas que buscan equilibrar privacidad y cumplimiento normativo. Por otro lado, los marcos regulatorios actuales muestran sus límites ante la naturaleza descentralizada y autónoma de mixers como Tornado Cash.
Implicaciones para el ecosistema cripto tras el nuevo movimiento del explotador
La capacidad del atacante de Aztec para utilizar Tornado Cash y fragmentar así el rastro de fondos sustraídos plantea un reto operativo tanto para plataformas de intercambio, que deben reforzar sus controles de origen de fondos, como para usuarios, quienes se enfrentan a nuevas consideraciones sobre la seguridad de los contratos “olvidados” en DeFi. Para desarrolladores y equipos de proyectos blockchain, el incidente enfatiza la responsabilidad de dar seguimiento y supervisar los contratos desplegados, incluso tras su deprecación, buscando mecanismos de rescate u otros recursos que protejan los activos restantes.
Para inversores y participantes en el ecosistema, la situación refuerza la importancia de monitorear la seguridad de los contratos y de estar alerta a movimientos inusuales de fondos en plataformas donde operan. Se prevé que la vigilancia sobre mixers y herramientas de privacidad continúe intensificándose —tanto por parte de reguladores como de actores privados—; sin embargo, la descentralización y autonomía de estos sistemas dificultan la aplicación de sanciones efectivas y la prevención de su uso indebido. El caso Aztec subraya que, en el entorno DeFi, los desafíos de privacidad y seguridad avanzan al mismo ritmo que la innovación técnica.
Para un seguimiento en tiempo real de incidentes on-chain y análisis de seguridad, es posible consultar fuentes especializadas como PeckShield Alert (noticia Odaily), además de revisar reportes técnicos sobre lagunas de seguridad y auditorías de contratos en Ethereum.