La criptoindustria se enfrenta a una nueva realidad: una auditoría única de un smart contract ya no garantiza la seguridad. El desarrollo de la inteligencia artificial acelera radicalmente la búsqueda de vulnerabilidades, reduciendo la "vida útil" de los informes de auditoría. Los proyectos, especialmente aquellos con una larga trayectoria, necesitan implementar revisiones continuas del código; de lo contrario, corren el riesgo de convertirse en víctimas de atacantes armados con IA.
Los datos del primer semestre del año actual dibujan un panorama alarmante. Los analistas registraron pérdidas en el sector Web3 por un total de aproximadamente $1,32 mil millones como resultado de 344 incidentes. Considerando las recuperaciones, el daño neto ascendió a aproximadamente $1,2 mil millones. El principal vector de ataque fueron las vulnerabilidades en el código: 204 casos por $151,6 millones. Llama especialmente la atención el aumento en la proporción de ataques a contratos con más de un año de antigüedad. Esto indica un retorno sistemático de los hackers a bases antiguas, y no solo a proyectos recientes.
¿Por qué las auditorías antiguas dejan de ser suficientes? Un smart contract puede permanecer activo durante años, pero durante ese tiempo cambian las herramientas de búsqueda de errores, aparecen nuevas técnicas de explotación y los equipos de soporte pueden perder la vigilancia. La "ventana de máxima vulnerabilidad" no se cierra después del lanzamiento. La reauditoría debería convertirse en un requisito operativo regular. Aunque aún no se ha demostrado una relación directa con la IA, el patrón de ataques a contratos antiguos probablemente se ve respaldado por la mejora de las herramientas automatizadas capaces de encontrar defectos ocultos en grandes volúmenes de código.
Caso Zcash: incluso el código verificado no está exento de riesgos
Un ejemplo ilustrativo es el incidente con Zcash. En el pool Orchard, un componente clave de las transacciones privadas, se descubrió una vulnerabilidad crítica que existía desde su activación en mayo de 2022 hasta una corrección de emergencia en junio de 2026. El error permitía crear de forma imperceptible una cantidad ilimitada de ZEC falsos. Debido a la privacidad del pool, el equipo no pudo demostrar si la vulnerabilidad se había utilizado anteriormente. Este caso demuestra claramente que incluso el código con años de historia puede contener defectos.
Agentes de IA: baratos y efectivos
Las investigaciones confirman el creciente rendimiento de la IA en la búsqueda de vulnerabilidades. En el benchmark SCONE-bench, donde los agentes verificaron 405 contratos realmente hackeados, el resultado en un año aumentó del 2% al 55,88% en una parte del conjunto con vulnerabilidades posteriores a la fecha de corte del conocimiento del modelo. El valor total de los exploits simulados con éxito aumentó de $5000 a $4,6 millones. Y el costo promedio de un escaneo completo de un solo contrato es de solo $1,22. A medida que disminuye el precio y aumentan las capacidades de los agentes, la ventana entre la aparición de código defectuoso y su explotación se reducirá.
Por separado, cabe destacar los ataques a protocolos que ya están cerrados o han limitado su funcionamiento. Por ejemplo, un atacante retiró aproximadamente $2,19 millones de Aztec Connect, una solución cuyo soporte se suspendió en 2023. Esto subraya la necesidad de monitorear incluso los contratos "muertos".
Mi conclusión profesional: estamos entrando en una era donde la seguridad no es un evento único, sino un proceso continuo. Los proyectos que no se adapten a este paradigma sufrirán pérdidas. La IA se ha convertido en una espada de doble filo: protege, pero también ataca con una velocidad y eficacia sin precedentes. Las auditorías regulares, el monitoreo automatizado y la actualización proactiva del código no son una recomendación, sino una necesidad para la supervivencia.