Taiko sufrió un ataque informático por valor de 1,7 millones de dólares. A continuación, el token se multiplicó por nueve.

El 22 de junio, alguien sustrajo 1,7 millones de dólares del puente Ethereum L2 de Taiko. No lo hizo detectando algún error ingenioso en el contrato inteligente, sino al descubrir una clave privada. Se trataba de una clave RSA-3072 llamada «enclave-key.pem», que se encontraba en el repositorio público de GitHub de Taiko (taikoxyz/raiko), disponible para que cualquiera con una cuenta pudiera descargarla. Se suponía que esa clave debía permanecer bloqueada dentro de un enclave Intel SGX, desde donde firma las pruebas que indican al puente «sí, esta retirada es real». En cambio, el atacante se hizo con ella, registró su propio hardware falso como verificador de confianza y falsificó pruebas de retirada que el puente no tenía motivos para poner en duda. La producción de bloques se detuvo. El equipo pidió a todo el mundo que retirara sus fondos de todos los puentes de la red de inmediato.

Diez días después, el 2 de julio, el puente volvió a abrirse. Todos los usuarios afectados recibieron una indemnización íntegra con cargo a la tesorería, según el propio comunicado de Taiko. Y ahí fue cuando las cosas se pusieron raras.

TAIKO no solo se recuperó, sino que se disparó. Desde un mínimo histórico de alrededor de 0,058 dólares alcanzado el 29 de junio, el token se disparó hasta los 0,52 dólares en 24 horas —un movimiento de aproximadamente 9 veces su valor— antes de estabilizarse de nuevo en torno a los 0,13-0,14 dólares. Eso sigue siendo aproximadamente el doble de lo que cotizaba justo después del hackeo. CoinDesk registró un repunte de hasta el 136% en una sola sesión; CoinGecko lo sitúa en un 114% a lo largo de la semana. El volumen de negociación se disparó por encima de los 100 millones de dólares en un día para un token con una capitalización de mercado de 27 millones de dólares.

Hace un año, el patrón era el siguiente: una «shitcoin» se retira de una bolsa, su precio se dispara y nadie puede explicar por qué, salvo que «hay menos presión vendedora y menos gente sensata observando». Ahora, al parecer, que se filtre tu clave de firma en GitHub y perder una cifra de siete dígitos tiene el mismo efecto. Quizá se trate de compras por alivio: la solución funcionó, todo el mundo recuperó su dinero, así que ¿por qué no sumarse a la locura? Quizá sea simplemente un token con poca flotación en el que cualquier noticia, buena o mala, basta para disparar su precio. Probablemente ambas cosas.

Sin embargo, vale la pena recordar lo que realmente ocurrió aquí. No se trató de un fallo en el contrato inteligente. Toda la configuración de múltiples verificadores de Taiko —SGX más backends ZK— se diseñó de tal forma que un atacante tendría que romper dos sistemas independientes a la vez. Nada de eso importó porque, para empezar, se suponía que la clave nunca debía salir del enclave, y acabó en un lugar donde cualquier script podía encontrarla. Eso no es un fallo de criptografía. Es un fallo de.gitignore. PeckShield cifra el total de los ataques a puentes en 2026 en más de340 millones de dólares, repartidos en al menos 14 incidentes, y el denominador común en la mayoría de ellos no es un error matemático, sino que alguien se olvidó de cerrar una puerta con llave.

Taiko afirma que pronto se publicará un análisis exhaustivo del incidente. Hasta entonces: el puente funciona, los usuarios han recuperado su dinero y el gráfico parece indicar que nunca pasó nada malo.