Crypto news

Julio de 2026 se convirtió en un hito para toda la industria de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobierno del memecoin basado en Solana, funcionó perfectamente, sin un solo error. Sin embargo, aproximadamente $20 millones desaparecieron sin dejar rastro del tesoro de la organización. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en total conformidad con el protocolo.

Este caso es una clara ilustración de cómo los ataques a la gobernanza se están convirtiendo en la nueva norma, y el factor humano se transforma en el principal objetivo para los atacantes. Al mismo tiempo, los métodos tradicionales de hackeo están siendo reemplazados por la búsqueda automatizada de vulnerabilidades mediante inteligencia artificial, lo que cambia radicalmente el panorama de amenazas.

Ataque a la descentralización: la lección de BonkDAO

El 6 de julio de 2026, BonkDAO sufrió una toma de control de la gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no utilizó exploits, sino que actuó a través de una transacción legal, desde el punto de vista del código, aprovechando las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad.

El esquema fue simple y elegante. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía recompensar a los participantes de la votación, el hacker insertó una función maliciosa que transfería los fondos del tesoro a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.

Este incidente reveló una deficiencia crítica del sistema: la falta de un mecanismo de retraso temporal en la ejecución de decisiones y un umbral de quórum demasiado bajo. El equipo no tenía derecho de veto, lo que hizo que el ataque fuera irreversible. El atacante no hackeó el código; simplemente leyó atentamente los estatutos de la organización y encontró un punto débil en ellos.

No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación del 4-5% de la oferta total de tokens, un paquete del 1% fue suficiente para controlar la votación. Ese ataque se pudo repeler, pero solo después de que la propuesta fuera aprobada y mediante negociaciones.

La baja participación y la concentración de tokens no son un bug en el código, sino un problema sistémico de los mecanismos de descentralización en Web3. Ya a principios de 2026, el cofundador de Ethereum, Vitalik Buterin, instó a la comunidad a desarrollar formas más avanzadas de DAO, calificando el modelo dominante de gobernanza basado en tokens como "improductivo y débil", vulnerable a la captura.

La auditoría no es una panacea

Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código los problemas son opuestos. Según mi análisis de datos, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirió buscar vulnerabilidades complejas de día cero; los atacantes utilizaron métodos conocidos desde hace tiempo:

• errores de reentrada (reentrancy);
• errores de control de acceso;
• manipulaciones con oráculos;
• errores lógicos en la lógica de negocio del protocolo.

Los puentes entre cadenas (cross-chain bridges) siguen siendo los más vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar en su totalidad.

2026 demostró varios ejemplos reveladores. En enero, el protocolo de verificación Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto. En febrero, los atacantes obtuvieron control sobre la clave privada del validador del puente de IoTeX y retiraron $4,4 millones. Y en abril, el mayor exploit DeFi del año fue el ataque al protocolo de restaking Kelp: se retiraron alrededor de 116,500 rsETH por $292 millones del puente hacia LayerZero.

La IA como nueva amenaza

Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante la simulación, las redes neuronales atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo un total de $550,1 millones. En la práctica, esto ya está ocurriendo: los especialistas registran múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades.

La clave es más importante que el contrato

Ninguna auditoría de contrato inteligente habría podido prevenir los mayores robos de los últimos dos años. El robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque. Es revelador el hackeo de Bybit en febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos, sustituyendo datos en la interfaz de Safe. En junio de 2026, Humanity Protocol sufrió un ataque similar, perdiendo $31 millones debido al acceso a las claves a través de una computadora infectada de un desarrollador.

La industria está cambiando su enfoque hacia la protección: se implementan billeteras MPC, abstracción de cuentas con recuperación social y autenticación con passkeys. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool incluso antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate detectó la preparación de un ataque contra el protocolo Venus con 18 horas de antelación, lo que permitió prevenir el robo.

La arquitectura de Web3 fue diseñada para eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Pero las estadísticas de los últimos años demuestran el efecto contrario. Un código perfectamente escrito es impotente si un desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en absoluto en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.

Mi conclusión: la industria está al borde de una revisión fundamental del paradigma de seguridad. Mientras confiemos en verificaciones formales del código, ignorando el factor humano y la ingeniería social, veremos ataques cada vez más sofisticados contra la gobernanza y la infraestructura. Es necesario desplazar el enfoque de auditorías puntuales a sistemas integrales de monitoreo y análisis de comportamiento.