El factor humano — la principal vulnerabilidad de Web3: cómo las DAO y las auditorías pierden frente a los ataques a la gobernanza
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la organización gobernante del memecoin en Solana, funcionó perfectamente, pero eso no impidió que los atacantes sacaran alrededor de $20 millones del tesoro. No hubo un hackeo en el sentido clásico: la votación fue legítima y la transacción fue completamente válida desde el punto de vista del código.
Este incidente es el ejemplo más claro de cómo los ataques a la gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal objetivo de los hackers. Al mismo tiempo, la industria enfrenta una nueva amenaza: el análisis con IA de contratos inteligentes antiguos se convierte tanto en una bendición para la seguridad como en una llave maestra universal para los atacantes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza, lo que resultó en el robo de aproximadamente 4,43 billones de tokens BONK del tesoro. El atacante explotó debilidades fundamentales en la arquitectura de la DAO y la pasividad de la comunidad. Bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que supuestamente recompensaba a los participantes de la votación, introdujo una función maliciosa para transferir fondos a su dirección.
Para alcanzar el quórum, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Vulnerabilidades críticas del sistema: falta de retraso temporal en la ejecución de decisiones, umbral de quórum bajo y ausencia de derecho de veto de emergencia por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound: los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se pudo repeler, pero solo después del hecho, mediante negociaciones. El problema no está en el código, sino en los mecanismos de descentralización de Web3: la baja participación y la concentración de tokens hacen que el sistema sea vulnerable. No es sorprendente que a principios de 2026, Vitalik Buterin instara a reconsiderar el modelo dominante de gobernanza basado en tokens, calificándolo de "improductivo, débil y vulnerable a la captura".
La auditoría no es garantía de seguridad
Mientras la gobernanza de las DAO sufre por agujeros "humanos", la situación con el código es paradójica. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías exitosamente. La mayoría de los ataques no requirió exploits complejos de día cero: se utilizaron métodos conocidos desde hace tiempo: errores de reentrada, errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una enorme superficie de ataque difícil de evaluar en su totalidad. Ejemplos destacados de 2026: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato de cinco años; el ataque al validador del puente de IoTeX con la extracción de $4,4 millones; y el mayor exploit del año: el ataque a Kelp, donde se extrajeron 116,500 rsETH por $292 millones del puente LayerZero.
La IA, un nuevo jugador en el campo de batalla
Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para quien el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante una simulación en el benchmark SCONE-bench (405 contratos realmente hackeados), las redes neuronales atacaron exitosamente 207 de ellos, extrayendo $550,1 millones. Ya en junio, los analistas de Chainalysis detectaron actividad anómala: múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades. La barrera de entrada al hacking disminuye más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Sin embargo, ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit en febrero de 2025 ($1,46 mil millones en ETH) es el ejemplo más claro: los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol perdió $31 millones debido a claves robadas de una computadora infectada de un desarrollador.
Cambio de paradigma en la protección
La industria se ve obligada a cambiar. Las auditorías puntuales están siendo reemplazadas por sistemas dinámicos de monitoreo. Las billeteras MPC, la abstracción de cuentas con recuperación social, la autenticación con passkeys y los almacenes de hardware se están convirtiendo en el estándar. La respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque contra Venus Protocol con 18 horas de antelación y pausó automáticamente el protocolo 20 minutos antes de la transacción final, preservando los fondos.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Pero las estadísticas demuestran lo contrario: el código perfecto es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en las personas en ambos extremos de la conexión.
Mi opinión: la industria está experimentando un cambio fundamental. Pasamos de una carrera armamentista en el código a una carrera en procesos e infraestructura. Los proyectos que no reestructuren sus sistemas de gobernanza y seguridad teniendo en cuenta el factor humano y las amenazas de la IA, corren el riesgo de convertirse en la próxima estadística en los informes de Chainalysis.