Crypto news

Julio de 2026 será recordado por la industria cripto no por otro exploit en el código, sino por un robo perfectamente legal. El código de BonkDAO, la estructura de gobernanza del memecoin en Solana, funcionó sin un solo error. Sin embargo, alrededor de $20 millones desaparecieron del tesoro de la organización. No hubo ningún hackeo en el sentido clásico: la votación se llevó a cabo de manera justa y la transacción se ejecutó en total cumplimiento con las reglas del protocolo.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO enfrentó una toma de control de la gobernanza. El atacante extrajo aproximadamente 4,43 billones de tokens BONK, aprovechando fallas fundamentales en la arquitectura de la DAO y la apatía de la comunidad. Disfrazado como una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía recompensas para los participantes de la votación, el hacker insertó una función maliciosa para transferir fondos a su dirección.

Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. No existían mecanismos críticos de protección, como un time-lock que permitiera cancelar una transacción anómala o un derecho de veto por parte del equipo.

Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En esa ocasión, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones), aprovechando una participación baja del 4-5%. Ese ataque se pudo repeler, pero solo mediante negociaciones después de que se aprobara la propuesta. El problema no radica en errores de código, sino en el propio modelo de tokenocracia.

Vitalik Buterin ya a principios de 2026 advirtió: el modelo dominante de gobernanza basado en tokens es improductivo, vulnerable a la captura y "fracasa por completo en la tarea de mitigar las deficiencias de la política humana".

La auditoría no es una garantía

Mientras las DAO sufren ataques "legales", los contratos inteligentes se hackean con métodos antiguos. Según datos de los analistas de Kerberus, el 90% de los contratos vulnerados en 2025 pasaron auditorías con éxito. Los atacantes no buscan vulnerabilidades complejas de día cero; les bastan errores clásicos: reentrancy, problemas de control de acceso, manipulaciones con oráculos o bugs lógicos en la lógica de negocio.

Los puentes cross-chain son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una enorme superficie de ataque que es difícil de evaluar en su totalidad.

Los incidentes de 2026 son reveladores:

1. Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto.
2. El puente de IoTeX fue comprometido a través de una clave privada de validador: se extrajeron $4,4 millones y se acuñaron 111 millones de tokens.
3. El mayor exploit del año: el ataque al protocolo Kelp: $292 millones en rsETH fueron extraídos a través del puente LayerZero debido a un único validador y un ataque a la infraestructura RPC.

Las insignias de CertiK y Code4rena no protegen contra estos vectores.

La IA como nueva amenaza

La situación se agrava con el desarrollo de la IA. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench: de 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207, extrayendo $550,1 millones simulados. Al probar en 34 contratos vulnerados después de marzo de 2025, los modelos también mostraron una alta eficacia. Chainalysis ya registra múltiples intentos de hackeo sincronizados contra decenas de contratos: esto es un barrido automatizado inaccesible para un humano. La barrera de entrada al hacking está cayendo rápidamente.

La clave lo decide todo

Sin embargo, ninguna auditoría habría prevenido los mayores robos. Según datos de Chainalysis para 2024, el robo de claves privadas es la causa de ~40% de todos los fondos robados. Un ejemplo clásico es el hackeo de Bybit en febrero de 2025 por $1,46 mil millones, cuando los firmantes aprobaron una transacción manipulada en la interfaz de Safe. Un destino similar sufrió Humanity Protocol en junio de 2026: las claves fueron robadas a través de una copia de seguridad en una computadora infectada de un desarrollador, con pérdidas de $31 millones.

La industria reacciona: se implementan billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El ejemplo de Venus Protocol demostró que una pausa automática 20 minutos antes del ataque salvó los fondos.

Web3 se diseñó como un sistema que excluye la confianza en el ser humano. Pero las estadísticas dicen lo contrario: el código perfecto es inútil si el desarrollador hace clic en un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable todavía hay personas.

Mi conclusión: estamos observando un cambio de paradigma fundamental. La industria cripto ha superado la etapa en la que la seguridad se garantizaba solo con la calidad del código. Ahora es una disciplina integral donde la gestión de riesgos, el análisis de comportamiento y la velocidad de reacción ante amenazas son más importantes que las verificaciones formales. Los proyectos que no lo comprendan son los próximos candidatos a los titulares sobre hackeos.