La criptoindustria se enfrenta a una nueva realidad: los contratos inteligentes antiguos y probados ya no son seguros. La inteligencia artificial acelera radicalmente la búsqueda de vulnerabilidades, haciendo que las auditorías únicas realizadas al lanzar un protocolo sean prácticamente inútiles en cuestión de meses. Esto no es una hipótesis, sino una tendencia alarmante confirmada por datos de las principales empresas de análisis.
Según mis datos, basados en el análisis del mercado, en el primer semestre las pérdidas del sector Web3 por 344 incidentes ascendieron a aproximadamente $1.32 mil millones. El daño neto, considerando las devoluciones, se estima en $1.2 mil millones. El vector clave de los ataques son las vulnerabilidades en el código: 204 casos por $151.6 millones. Llama especialmente la atención el aumento en la proporción de ataques a contratos con más de un año de antigüedad. Esto indica que los atacantes regresan sistemáticamente a bases antiguas, y no solo buscan nuevos proyectos.
Por qué las auditorías antiguas pierden validez
Un contrato inteligente puede permanecer activo durante años. Durante este tiempo, cambian las herramientas de búsqueda de errores, surgen nuevas técnicas de explotación, y los protocolos antiguos a menudo pierden equipos de soporte y la atención de los auditores. La "ventana de máxima vulnerabilidad" no se cierra tras el lanzamiento; al contrario, se amplía. Los proyectos con infraestructura antigua deberían considerar la reauditoría como un requisito operativo regular. Aunque aún no se ha demostrado una relación directa entre la IA y el aumento de ataques a contratos antiguos, el patrón está claramente respaldado por la mejora de las herramientas automatizadas para buscar defectos ocultos en grandes volúmenes de código.
Panorama de los ataques: no solo código, sino también infraestructura
TRM Labs registró 207 ataques de hackers en el semestre, un récord en su muestra. El daño total fue de $972 millones, menos de la mitad del indicador del mismo período de 2025. Esta brecha se explica por la estructura de los ataques: la mayoría de los incidentes (125 de 207) correspondieron a exploits en contratos inteligentes, pero el daño principal lo causaron grandes compromisos de infraestructura: ataques a claves, firmas y sistemas de gestión de fondos. Estos representaron solo el 15% de los incidentes, pero aproximadamente el 76% de los activos robados.
Un factor aparte es la actividad de grupos vinculados a la RPDC. Robaron alrededor de $643 millones, aproximadamente dos tercios de todos los fondos sustraídos. Casi todo este daño se concentró en dos ataques de abril: contra Drift Protocol y KelpDAO.
Caso Zcash: incluso el código probado contiene defectos
Un ejemplo claro es el incidente con Zcash. El ingeniero de seguridad Taylor Hornby descubrió una vulnerabilidad crítica en el pool Orchard, que existía desde mayo de 2022 hasta una corrección de emergencia en junio de 2026. El error podría haber permitido crear de forma imperceptible una cantidad ilimitada de ZEC falsos. Debido a la naturaleza privada del pool, el equipo no pudo demostrar criptográficamente si la vulnerabilidad se explotó antes de la corrección. Aunque Shielded Labs considera este escenario poco probable, el caso muestra que incluso el código con años de historia puede contener defectos fatales.
La IA cambia las reglas del juego
Anthropic publicó un estudio que demuestra la capacidad de los agentes de IA para encontrar y explotar vulnerabilidades. En el benchmark SCONE-bench, los agentes examinaron 405 contratos realmente hackeados entre 2020 y 2025. En un año, el resultado pasó del 2% al 55.88% en una parte del conjunto con vulnerabilidades posteriores a la fecha de corte del conocimiento del modelo. El valor total de los exploits simulados con éxito aumentó de $5,000 a $4.6 millones. El costo promedio de un escaneo completo de un solo contrato es de solo $1.22. A medida que el precio disminuye y las capacidades de los agentes aumentan, la ventana entre la aparición de código defectuoso y su explotación se reducirá.
Los atacantes ya están atacando protocolos que están cerrados o han limitado sus operaciones. Así, de Aztec Connect, una solución para transacciones privadas cuyo soporte cesó en 2023, se extrajeron aproximadamente $2.19 millones. Google Threat Intelligence Group registró por primera vez a un hacker que utilizó un error de día cero desarrollado con IA. Varias nuevas familias de malware están utilizando activamente grandes modelos de lenguaje para ataques.
Mi experiencia: La industria está al borde de un cambio fundamental. Las auditorías únicas son un arcaísmo. El futuro está en la monitorización continua y las pruebas automatizadas repetidas. Los proyectos que no se adapten a la nueva realidad, donde la IA trabaja tanto del lado de la defensa como del ataque, corren el riesgo de convertirse en presa fácil. Los inversores deberían exigir a los equipos no solo una "auditoría", sino pruebas de una actualización constante de la seguridad.