El factor humano como principal exploit: por qué el código ya no es el eslabón débil en la industria cripto
Julio de 2026 será recordado como el momento en que la gobernanza descentralizada se resquebrajó. El código de BonkDAO, la organización gestora de la memecoin en Solana, funcionó a la perfección, pero eso no impidió que los atacantes sacaran alrededor de $20 millones del tesoro. No se trata de un hackeo en el sentido clásico: la votación fue absolutamente legítima desde el punto de vista técnico. Es un claro ejemplo de cómo los ataques a la gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal objetivo de los hackers.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO enfrentó una toma de control de la gobernanza: se robaron alrededor de 4,43 billones de tokens BONK del tesoro. El atacante aprovechó debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad. Bajo la apariencia de una iniciativa rutinaria, la Bonk Improvement Proposal #76, que suponía recompensar a los participantes de la votación, el hacker introdujo una función maliciosa para transferir fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no contaba con un mecanismo de retraso temporal para la ejecución de decisiones, el quórum era demasiado bajo y el equipo carecía de derechos de veto de emergencia.
No es un caso aislado. Un año antes, se intentó algo similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4–5% de la oferta total de tokens, ese paquete habría sido suficiente para controlar la votación. Ese ataque se logró repeler, pero solo después de que la propuesta fuera aprobada, mediante negociaciones.
La auditoría no garantiza la seguridad
Mientras en la gobernanza de las DAO se buscan fallos sin una sola línea de exploit, con el código los problemas son opuestos. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías exitosamente. La mayoría de los ataques no requirió buscar vulnerabilidades complejas de día cero: los atacantes utilizaron métodos conocidos desde hace tiempo: errores de reentrada, errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo.
Los protocolos de puentes entre cadenas necesitan especialmente verificaciones de calidad. Desde 2022, los puentes han perdido en conjunto más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que a los especialistas les resulta físicamente difícil evaluar en su totalidad.
La IA como nueva herramienta de hackeo
Mientras los especialistas investigaban patrones repetitivos de vulnerabilidades, apareció un adversario para quien ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante la simulación, las redes neuronales lograron atacar con éxito 207 de los 405 contratos realmente hackeados, extrayendo $550,1 millones. La barrera de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría de contratos inteligentes habría podido prevenir los mayores robos de los últimos dos años. El robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos, más que cualquier otro vector de ataque. Es revelador el hackeo de Bybit en febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de una transferencia de fondos habitual, sustituyendo los datos en la interfaz de Safe.
La industria está cambiando su enfoque hacia la protección: se implementan billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. La protección se desplaza de verificaciones puntuales hacia un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network e Hypernative rastrean actividad anómala en el mempool incluso antes de que una transacción maliciosa se incluya en un bloque.
La arquitectura de Web3 se diseñó originalmente con el objetivo de eliminar por completo la confianza en el ser humano, transfiriendo el control a las matemáticas. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito es impotente si el desarrollador abre un enlace de phishing, y una comunidad descentralizada duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en absoluto en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria transita del paradigma «confía en el código» al paradigma «confía en el proceso». Sin revisar los mecanismos de gobernanza e implementar sistemas preventivos de monitoreo, seguiremos viendo cómo miles de millones de dólares desaparecen debido a errores humanos aparentemente insignificantes.