El factor humano: la principal vulnerabilidad de la industria cripto que no se puede corregir con una auditoría
Julio de 2026 será recordado como el momento en que el código de la organización autónoma descentralizada BonkDAO funcionó sin un solo error, pero esto no salvó su tesorería. Alrededor de $20 millones fueron retirados mediante una transacción legal, y no hubo ningún hackeo en el sentido clásico: la votación se llevó a cabo de manera justa, siguiendo todas las reglas. Este es un claro ejemplo de cómo los ataques a la gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal objetivo para los atacantes.
Ataque a la descentralización: cuando el código es impotente
El 6 de julio de 2026, BonkDAO enfrentó una toma de control de gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no utilizó exploits complejos: encontró una debilidad fundamental en la arquitectura de la DAO y la pasividad de la comunidad. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que prometía recompensas a los participantes, se añadió una función maliciosa para transferir fondos.
Para alcanzar el quórum, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía mecanismo de retraso temporal, el quórum resultó ser demasiado bajo y el equipo no tenía derecho a veto. Este no es el primer caso: un año antes, se intentó un ataque similar contra la DAO de Compound, pero se logró repeler mediante negociaciones.
La baja participación y la concentración de tokens no son un error en el código, sino un problema sistémico de los mecanismos de descentralización. Vitalik Buterin ya a principios de 2026 criticaba las DAO orientadas a tokens, calificándolas de "improductivas" y "vulnerables a la captura".
La auditoría no es garantía de seguridad
Las estadísticas de 2025 muestran una tendencia alarmante: el número de incidentes en Web3 disminuyó de 410 a 200, pero las pérdidas totales aumentaron de $2 mil millones a $2,9 mil millones. Según Chainalysis, el daño alcanzó los $3,4 mil millones, y los tres casos más grandes representaron el 69% de todas las pérdidas. Los analistas de Kerberus calcularon que el 90% de los contratos inteligentes hackeados habían pasado auditorías exitosamente. Los atacantes no buscan vulnerabilidades complejas de día cero: utilizan métodos conocidos desde hace años: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es difícil de evaluar en su totalidad.
La IA como nueva amenaza
Mientras los especialistas analizan patrones repetitivos, han aparecido adversarios para quienes ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante las pruebas en el benchmark SCONE-bench, las redes neuronales atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550,1 millones. La barrera de entrada al hacking está disminuyendo más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados. El hackeo de Bybit en febrero de 2025 por $1,46 mil millones es un claro ejemplo: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción que transfería el control de la billetera. Una suerte similar corrió Humanity Protocol en junio de 2026: las claves fueron robadas de una computadora infectada de un desarrollador.
Un nuevo paradigma de protección
La industria se ve obligada a cambiar sus enfoques. Las verificaciones puntuales están siendo reemplazadas por sistemas dinámicos de monitoreo en tiempo real. El ejemplo de Venus Protocol demostró la efectividad de este enfoque: el sistema Hexagate detectó actividad anómala 18 horas antes del ataque y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en las personas, pero las estadísticas muestran el efecto contrario. El código perfecto es impotente si un desarrollador hace clic en un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable hay personas. Y ese es, quizás, el problema más difícil que la industria tendrá que resolver.