Los hackeos alcanzaron un récord, pero robaron menos: la paradoja de la seguridad DeFi en el segundo trimestre de 2026
El segundo trimestre de 2026 pasó a la historia de la criptoindustria como un período con un récord absoluto en cuanto al número de ataques informáticos a protocolos. Los analistas registraron 83 incidentes, la cifra más alta desde que se tienen registros. Sin embargo, a pesar de la frecuencia récord, el daño total ascendió a 755,3 millones de dólares, muy por debajo de los máximos históricos en volumen de fondos robados.
La tendencia clave del trimestre fue el paso de "gigaexploits" aislados a un flujo constante de ataques más pequeños pero numerosos. Los dos mayores hackeos afectaron a los protocolos KelpDAO (293 millones de dólares) y Drift Protocol (280 millones de dólares), que en conjunto representan más del 75% de todas las pérdidas. En el segmento de puentes entre cadenas, los daños alcanzaron los 351 millones de dólares, y el 38% de esa cantidad correspondió al incidente con el puente LayerZero OFT, directamente relacionado con el ataque a KelpDAO. Otro 37% de las pérdidas en este segmento se debió a la compromisión del acceso administrativo y a la manipulación de los precios de los tokens. El robo de claves privadas, contrariamente a la creencia popular, representó solo el 5,66% del daño total.
La paradoja radica en que, aunque el número de hackeos batió un récord, en términos de volumen de pérdidas el trimestre ni siquiera entró entre los tres más costosos. El peor récord absoluto en valor sigue siendo el cuarto trimestre de 2020, con 3.560 millones de dólares. Esto apunta a cambios estructurales en el ecosistema: el valor total bloqueado (TVL) se redujo de 164.000 millones de dólares a aproximadamente 73.000 millones, lo que objetivamente redujo el "objetivo" para los atacantes. Sin embargo, la frecuencia de los ataques sugiere otra cosa: una creciente vulnerabilidad de la infraestructura.
Los expertos vinculan este aumento a la brecha entre la velocidad de desarrollo de los protocolos y la madurez de sus sistemas de gestión de riesgos. Como ejemplo característico se citan proyectos que utilizan un esquema de multifirma "tres de seis", pero que almacenan las tres claves en un mismo portátil. Es un caso clásico en el que la seguridad formal no está respaldada por prácticas reales.
Una confirmación adicional del carácter sistémico del problema fueron los incidentes en THORChain, donde un hackeo de 10 millones de dólares provocó la suspensión de todo el protocolo, y en Humanity Protocol, que perdió unos 31 millones de dólares debido a la compromisión de billeteras.
Mi análisis: El récord en número de hackeos con un TVL en descenso es una señal alarmante. Muestra que los hackers se adaptan más rápido de lo que los protocolos implementan medidas de protección adecuadas. Mientras la industria persigue la funcionalidad, los principios básicos de ciberseguridad se quedan en un mero "trámite". Aunque esto aún no ha provocado un único hackeo catastrófico, la "erosión" constante de la confianza podría resultar más destructiva para DeFi que un solo exploit de gran magnitud.