La práctica de auditorías únicas de contratos inteligentes está quedando obsoleta rápidamente. Las herramientas modernas de IA pueden encontrar vulnerabilidades en el código con tal velocidad y precisión que la "ventana de seguridad" entre el lanzamiento de un protocolo y su ataque se reduce al mínimo. Los proyectos que dependen de una revisión de hace un año deberían reconsiderar su estrategia: los contratos antiguos se convierten en presa fácil para ataques automatizados.
Mis datos lo confirman: los métodos de explotación cambian más rápido de lo que las auditorías clásicas pueden tenerlos en cuenta. En el primer semestre, las pérdidas del sector Web3 ascendieron a aproximadamente $1.32 mil millones como resultado de 344 incidentes. El daño neto, considerando las devoluciones, es de aproximadamente $1.2 mil millones. El principal vector de ataque son las vulnerabilidades en el código: 204 casos por $151.6 millones. Al mismo tiempo, la proporción de ataques a contratos de más de un año ha aumentado notablemente. Los atacantes regresan sistemáticamente a bases antiguas, y no solo buscan nuevos proyectos.
Por qué los contratos antiguos son un nuevo objetivo
Un contrato inteligente puede permanecer activo durante años. Durante este tiempo, cambian las herramientas de búsqueda de errores, aparecen nuevas técnicas de explotación y los equipos de soporte se van. La "ventana de máxima vulnerabilidad" no se cierra después del lanzamiento. Los proyectos con infraestructura antigua deben considerar la reauditoría como un requisito operativo regular. Y aunque aún no hay pruebas al 100% de que el aumento de ataques a contratos antiguos sea causado específicamente por la IA, el patrón está claramente respaldado por la mejora de las herramientas automatizadas para buscar defectos ocultos en grandes volúmenes de código.
TRM Labs registró un récord de 207 ataques de hackers en seis meses. El daño total fue de $972 millones. La mayoría de los incidentes (125 de 207) correspondieron a explotaciones en contratos inteligentes. Sin embargo, el daño principal no lo causaron estos, sino grandes compromisos de infraestructura: ataques a claves, firmas y sistemas de gestión de fondos. Representaron aproximadamente el 15% de los incidentes, pero alrededor del 76% de los activos robados. Cabe destacar la actividad de los grupos norcoreanos: robaron alrededor de $643 millones, casi dos tercios de todos los fondos.
Caso Zcash: un error de varios años en el pool privado
Un ejemplo ilustrativo es la vulnerabilidad en el pool Orchard de la red Zcash. El error crítico existió desde su activación en mayo de 2022 hasta una corrección de emergencia en junio de 2026. Podría haber permitido crear de forma imperceptible una cantidad ilimitada de ZEC falsos. Debido a la naturaleza privada del pool, el equipo no pudo demostrar criptográficamente si la vulnerabilidad fue explotada. Aunque el escenario se considera poco probable, es un ejemplo claro: incluso el código verificado con años de historia puede contener defectos ocultos.
Cómo la IA cambia las reglas del juego
La eficacia de la IA en la búsqueda de vulnerabilidades crece exponencialmente. En el benchmark SCONE-bench, los agentes verificaron 405 contratos realmente atacados. El resultado en un año pasó del 2% al 55.88%. El valor total de las explotaciones modeladas con éxito aumentó de $5000 a $4.6 millones. El costo promedio de un escaneo completo de un contrato es de solo $1.22. A medida que el precio disminuye y las capacidades de los agentes aumentan, la ventana entre la aparición de código defectuoso y su explotación se reducirá.
Los atacantes ya están atacando protocolos que han dejado de recibir soporte. Por ejemplo, de Aztec Connect, una solución para transacciones privadas cerrada en 2023, se retiraron aproximadamente $2.19 millones. Google registró por primera vez a un hacker que utilizó un error de día cero desarrollado con IA. Y esto es solo el comienzo.
Mi opinión: La industria está entrando en una nueva realidad donde una auditoría única no es protección, sino solo un punto de partida. Los proyectos que no implementen monitoreo continuo y actualizaciones regulares de seguridad corren el riesgo de terminar en la lista de víctimas. Los contratos antiguos son una bomba de tiempo, y la IA se ha convertido en el detonador.