La criptoindustria se enfrenta a un nuevo desafío: la inteligencia artificial acelera drásticamente la búsqueda de vulnerabilidades en los contratos inteligentes, haciendo que las auditorías puntuales sean prácticamente inútiles en poco tiempo. Esto no es una hipótesis, sino una tendencia confirmada que estoy siguiendo basándome en datos recientes de las principales plataformas analíticas.

Contratos antiguos: un nuevo objetivo

El análisis de incidentes del primer semestre muestra un panorama alarmante: las pérdidas del sector Web3 ascendieron a aproximadamente $1,32 mil millones como resultado de 344 ataques. El daño neto, teniendo en cuenta los fondos congelados, se estima en $1,2 mil millones. El vector clave son las vulnerabilidades en el código: 204 casos por $151,6 millones. Llama especialmente la atención el aumento de la proporción de ataques a contratos con más de un año de antigüedad. Esto indica un retorno sistemático de los atacantes a bases de código antiguas, y no solo a proyectos recientes.

Un contrato inteligente puede permanecer activo durante años después de una auditoría inicial. Durante este tiempo, cambian las herramientas de búsqueda de errores, aparecen nuevas técnicas de explotación y los protocolos antiguos a menudo pierden a sus equipos de soporte. La "ventana de máxima vulnerabilidad" no se cierra tras el lanzamiento: la reauditoría debería convertirse en un requisito operativo regular. Los especialistas no afirman que el aumento de ataques a contratos antiguos esté ya demostradamente causado por la IA. Sin embargo, es probable que este patrón se vea respaldado por la mejora de las herramientas automatizadas para encontrar vulnerabilidades ocultas en grandes volúmenes de código.

Agentes de IA: del 2% al 55,88% en un año

La eficacia de la IA en este ámbito crece exponencialmente. En el benchmark SCONE-bench, donde los agentes examinaron 405 contratos realmente pirateados entre 2020 y 2025, el resultado en una parte del conjunto con vulnerabilidades posteriores a la fecha de corte del conocimiento del modelo aumentó del 2% al 55,88% en solo un año. El valor total de los exploits modelados con éxito pasó de $5000 a $4,6 millones. Además, el escaneo completo de un solo contrato cuesta en promedio $1,22. A medida que disminuye el precio y aumentan las capacidades de los agentes, la ventana entre la aparición de código defectuoso y su explotación se reducirá.

Caso Zcash: incluso el código verificado puede ser peligroso

El ejemplo de Zcash es una ilustración clara. Un ingeniero de seguridad descubrió una vulnerabilidad crítica en el pool Orchard, uno de los componentes clave de las transacciones privadas. El error existió desde la activación de Orchard en mayo de 2022 hasta una corrección de emergencia en junio de 2026. Podría haber permitido crear de forma imperceptible una cantidad ilimitada de ZEC falsos dentro del pool. Debido a la naturaleza privada del pool, el equipo no pudo demostrar criptográficamente si la vulnerabilidad se había explotado antes de la corrección. Este caso muestra que incluso el código con años de historia puede contener defectos que solo se vuelven explotables con nuevas herramientas.

Mi opinión experta

El mercado está entrando en una era donde la seguridad no es un evento único, sino un proceso continuo. Las herramientas de IA reducen la barrera de entrada para los hackers, haciendo vulnerables incluso a protocolos verificados desde hace tiempo. Los proyectos que dependen de auditorías antiguas deberían reconsiderar su estrategia: el escaneo regular del código y la monitorización de anomalías se convierten no en una opción, sino en una necesidad. De lo contrario, las pérdidas, que ya alcanzaron los $1,32 mil millones en seis meses, solo seguirán aumentando.