El factor humano: la principal vulnerabilidad de la industria cripto que no se puede corregir con código.
En julio de 2026, el código de BonkDAO —la estructura de gobernanza del memecoin basado en Solana— funcionó perfectamente, sin un solo fallo. Sin embargo, esto no impidió que los atacantes extrajeran alrededor de $20 millones del tesoro de la organización. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y la transacción fue completamente válida desde el punto de vista del código.
Ataque a la gobernanza: cuando el código no ayuda
El incidente con BonkDAO es un claro ejemplo de un ataque a la gobernanza descentralizada. El 6 de julio de 2026, la organización enfrentó una toma de control del DAO, que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante aprovechó debilidades fundamentales de la arquitectura y la pasividad de la comunidad.
El esquema fue meticulosamente planeado: bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que supuestamente otorgaba recompensas a los participantes, el hacker añadió una función maliciosa de transferencia de fondos. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
Este caso reveló deficiencias críticas: la falta de un retraso temporal en la ejecución de decisiones, un umbral de quórum bajo y la ausencia de un derecho de veto de emergencia por parte del equipo. Un año antes, se intentó un ataque similar contra el DAO del protocolo Compound, pero ese ataque se pudo repeler mediante negociaciones. El problema no radica en errores de código, sino en los propios mecanismos de descentralización de Web3, que Vitalik Buterin ya ha calificado de «improductivos y débiles».
La auditoría no es una panacea
Las estadísticas de 2025 muestran una tendencia alarmante: según analistas de Kerberus, el 90% de los contratos inteligentes hackeados habían pasado auditorías con éxito. Los atacantes utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas (cross-chain bridges) representan un peligro especial: desde 2022, han perdido colectivamente más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una amplia superficie de ataque que es difícil de evaluar en su totalidad. Son reveladores los casos de 2026: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al puente de IoTeX mediante la compromisión de la clave privada de un validador, y el mayor exploit del año: el hackeo del protocolo Kelp por $292 millones debido a un único validador de mensajes entre cadenas.
IA: nueva amenaza y herramienta de protección
En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar vulnerabilidades. Durante una simulación en el benchmark SCONE-bench, que incluye 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Esto significa que la barrera de entrada al hacking está disminuyendo rápidamente: para ataques típicos, ahora basta con formular correctamente una solicitud, en lugar de ser un experto en Solidity.
La clave es más importante que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. Según Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un claro ejemplo: los firmantes aprobaron una transacción manipulada en la interfaz de Safe. De manera similar, Humanity Protocol se vio afectado en junio de 2026, perdiendo $31 millones debido a malware en la computadora de un desarrollador.
¿Qué funciona?
La industria avanza hacia un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus demostró la efectividad de este enfoque: una pausa automática 20 minutos antes de la transacción final salvó los fondos.
La arquitectura de Web3 se creó para eliminar la confianza en las personas, pero las estadísticas muestran lo contrario: el código perfecto es impotente frente a un enlace de phishing o una comunidad DAO inactiva. Quizás la principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria debe dejar de depender de auditorías puntuales y pasar a un modelo de seguridad integral, donde las medidas técnicas se combinen con la educación de los usuarios y mecanismos de respuesta rápida. De lo contrario, el factor humano seguirá siendo ese «agujero» que ningún contrato inteligente puede tapar.