El factor humano: por qué el código perfecto no salva a la industria cripto de pérdidas de miles de millones de dólares
Julio de 2026 se convirtió en un hito para comprender las vulnerabilidades de Web3. El código de gobierno de BonkDAO —la organización detrás del memecoin en Solana— funcionó sin un solo error. Sin embargo, esto no impidió que los atacantes sacaran alrededor de $20 millones de la tesorería. No se trata de un hackeo en el sentido clásico: la votación fue absolutamente legítima desde un punto de vista técnico.
Ataque a la descentralización
El incidente con BonkDAO es un claro ejemplo de cómo las deficiencias arquitectónicas de las DAO se convierten en armas en manos de los atacantes. El 6 de julio de 2026, un hacker, utilizando la propuesta rutinaria Bonk Improvement Proposal #76, insertó en ella una función maliciosa que preveía la transferencia de fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en intercambios centralizados, comprando el 1% de toda la emisión de BONK. Esto fue suficiente para controlar casi el 100% de los votos en medio de una participación extremadamente baja.
Las vulnerabilidades críticas fueron la ausencia de un mecanismo de retraso temporal en la ejecución de decisiones, un umbral de quórum demasiado bajo y la falta de derecho a veto por parte del equipo. Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, donde los atacantes intentaron retirar $24,1 millones. Ese ataque se logró repeler, pero solo después de aceptar la propuesta y mediante negociaciones.
La auditoría no es una panacea
Mientras unos buscan agujeros en la gobernanza, otros se enfrentan al problema opuesto: errores técnicos que, al parecer, se conocen desde hace tiempo. Según mis datos, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. Los atacantes no utilizaron vulnerabilidades complejas de día cero, sino métodos conocidos desde hace años: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica empresarial del protocolo.
Este problema es especialmente agudo en los puentes entre cadenas. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de su arquitectura crea una amplia superficie de ataque que es extremadamente difícil de evaluar en su totalidad.
La IA como nuevo vector de amenazas
La situación se ve agravada por el desarrollo de la inteligencia artificial. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench, compuesto por 405 contratos inteligentes realmente hackeados. Durante la simulación, las redes neuronales atacaron con éxito 207 de ellos, retirando $550,1 millones. Esto significa que la barrera de entrada al hacking está bajando de forma catastróficamente rápida. Ahora, para una parte significativa de los ataques típicos, basta con formular correctamente una solicitud a un LLM.
La clave es más importante que el contrato
Sin embargo, ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según mis estimaciones, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados en 2024. Es revelador el hackeo de Bybit en febrero de 2025, cuando el intercambio perdió $1,46 mil millones en ETH. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción externamente correcta, transfiriendo el control de la billetera a los hackers. Un caso similar ocurrió con Humanity Protocol en junio de 2026, donde las claves fueron robadas a través de una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria se está desplazando gradualmente de las verificaciones puntuales al monitoreo dinámico de amenazas en tiempo real. Los proyectos están implementando billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento por hardware. Sistemas automatizados como Forta Network y Hypernative rastrean actividad anómala en el mempool incluso antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque al protocolo Venus con 18 horas de antelación y lo puso en pausa automáticamente 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó originalmente con el objetivo de eliminar por completo la confianza en el ser humano. Sin embargo, las estadísticas de los últimos años demuestran el efecto contrario. Un código perfectamente escrito es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no reside en absoluto en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria necesita replantear su enfoque de la seguridad, desplazando el foco de las auditorías exclusivamente técnicas hacia una protección integral del factor humano y los procesos de toma de decisiones. De lo contrario, corremos el riesgo de ver repetirse este tipo de incidentes una y otra vez.