El factor humano — la principal vulnerabilidad de la industria cripto: análisis de los ataques a las DAO y más allá
En julio de 2026, el código de BonkDAO —la organización gestora de la memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados del tesoro. No hubo ningún hackeo en el sentido habitual: la votación fue legítima. Este es un claro ejemplo de cómo los ataques a la gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal objetivo de los atacantes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO enfrentó una toma de control de su gobernanza. El atacante aprovechó debilidades fundamentales en la arquitectura de la DAO y la pasividad de la comunidad. Bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que suponía una recompensa para los participantes, el hacker añadió una función maliciosa para transferir fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. El sistema no contaba con un mecanismo de retardo temporal para la ejecución de decisiones, y el quórum para disponer de sumas colosales resultó ser demasiado bajo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones). Con una participación habitual del 4–5%, ese paquete habría sido suficiente para controlar la votación. Ese ataque solo pudo repelerse mediante negociaciones después de que se aprobara la propuesta.
La baja participación y la concentración de tokens no son un error en el código, sino un problema de los mecanismos de descentralización en Web3. Ya a principios de 2026, Vitalik Buterin instó a la comunidad a desarrollar formas más avanzadas de DAO, calificando el modelo dominante de gobernanza basado en tokens como débil y vulnerable a la captura.
La auditoría no es garantía de seguridad
Según datos de analistas, en 2025 el número de incidentes en Web3 cayó casi a la mitad, hasta aproximadamente 200, pero las pérdidas totales aumentaron de $2 mil millones a $2,9 mil millones. Los expertos de Chainalysis estiman el daño aún mayor: $3,4 mil millones. Es revelador que el 90% de los contratos inteligentes vulnerados habían pasado auditorías con éxito. Los atacantes utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas (cross-chain) son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar en su totalidad.
El año 2026 ofreció varios ejemplos reveladores:
- El 8 de enero, el protocolo Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto.
- El 21 de febrero, los atacantes obtuvieron el control de la clave del validador del puente IoTeX y retiraron $4,4 millones, acuñando más de 111 millones de tokens.
- El 18 de abril, el mayor exploit DeFi del año fue el ataque al protocolo Kelp: se retiraron aproximadamente 116,500 rsETH por valor de $292 millones del puente en LayerZero.
La IA como nueva amenaza
Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual el análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante la simulación, las redes neuronales atacaron con éxito 207 de los 405 contratos realmente vulnerados, extrayendo $550,1 millones. En la práctica, esto ya está ocurriendo: Chainalysis registra múltiples intentos de hackeo casi idénticos contra diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. Es revelador el hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos: en la interfaz de Safe, los firmantes vieron datos manipulados y aprobaron una transacción que transfería el control de la billetera. De manera similar, en junio de 2026, Humanity Protocol resultó afectado, perdiendo $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria está cambiando su enfoque hacia el almacenamiento y la confirmación de operaciones: billeteras MPC, abstracción de cuenta con recuperación social, autenticación con passkeys y almacenamiento en hardware. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: el 2 de septiembre de 2025, el sistema Hexagate detectó la preparación de un ataque contra el protocolo Venus con 18 horas de antelación y lo pausó automáticamente 20 minutos antes de la transacción final.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Las estadísticas muestran el efecto contrario: un código perfectamente escrito es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante una toma de control de la DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria está pasando del paradigma de «la auditoría como garantía» al modelo de «monitoreo constante y protección en múltiples niveles». Sin embargo, mientras las decisiones clave las tomen personas, no existirá una seguridad perfecta. Necesitamos no solo mejorar el código, sino cambiar la cultura de seguridad y los procesos de toma de decisiones en las DAO.