El factor humano — la principal vulnerabilidad de Web3: análisis de los mayores ataques de 2025–2026
El código de BonkDAO, la organización gestora del memecoin en Solana, funcionó perfectamente en julio de 2026. Y sin embargo, alrededor de $20 millones salieron de la tesorería. No hubo ningún hackeo en el sentido clásico: la votación fue legítima. Es un síntoma claro de cómo los ataques a la gobernanza se están convirtiendo en la norma, y el factor humano se transforma en el principal vector para los atacantes.
Captura de la descentralización: anatomía del ataque a BonkDAO
El 6 de julio de 2026, BonkDAO enfrentó una captura de gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante, aprovechando la pasividad de la comunidad y las debilidades fundamentales de la arquitectura de la DAO, ejecutó una transacción legal desde el punto de vista del código.
El esquema fue simple y elegante. Bajo la apariencia de la rutinaria Bonk Improvement Proposal #76, que prometía recompensas a los participantes, el hacker insertó una función maliciosa para transferir fondos. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
Este caso expuso fallos críticos: la falta de un retraso temporal en la ejecución de decisiones (timelock), un umbral de quórum demasiado bajo para manejar sumas enormes y la ausencia de un derecho de veto de emergencia por parte del equipo. El atacante simplemente leyó atentamente los estatutos de la organización.
Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones), pero el ataque se pudo repeler después de que se aprobara la propuesta, mediante negociaciones. El problema no está en el código, sino en los mecanismos de descentralización que, con baja participación, se convierten en una ficción. No es de extrañar que Vitalik Buterin, ya a principios de 2026, pidiera revisar el modelo dominante de gobernanza basado en tokens, calificándolo de débil y vulnerable a la captura.
La auditoría no es una panacea
Mientras las DAO buscan fallos en la gobernanza, la situación con el código es paradójica. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. Los atacantes no utilizaron vulnerabilidades complejas de día cero, sino métodos conocidos desde hace tiempo: errores de reentrada (reentrancy), problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Especialmente vulnerables son los puentes entre cadenas (cross-chain bridges), que desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. El año 2026 ofreció varios ejemplos reveladores:
- Truebit (8 de enero): pérdida de $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto desplegado hace cinco años.
- IoTeX (21 de febrero): el control sobre la clave privada del validador del puente permitió actualizar el contrato a una versión maliciosa y retirar $4,4 millones.
- Kelp (18 de abril): el mayor exploit DeFi del año: $292 millones del puente en LayerZero debido a un único validador y un ataque a la infraestructura RPC.
Las insignias de CertiK y Code4rena no salvaron. La industria se enfrenta a la necesidad de reconstruir su defensa, especialmente en un contexto donde un nuevo adversario entra en escena: la inteligencia artificial.
Un prompt en lugar de un auditor
En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. En el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, "extrayendo" $550,1 millones. Incluso en contratos hackeados después de marzo de 2025 (fuera de los datos de entrenamiento), la IA mostró una alta eficacia. Ya en junio, los especialistas de Chainalysis registraron múltiples intentos de hackeo sincronizados contra decenas de contratos, lo que indica un barrido automatizado de vulnerabilidades. La barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Sin embargo, ninguna auditoría habría prevenido los mayores robos de los últimos dos años. Según Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit en febrero de 2025 ($1,46 mil millones) y el de Humanity Protocol en junio de 2026 ($31 millones) son ejemplos claros. En ambos casos, los atacantes no atacaron la blockchain, sino la infraestructura que la rodea: sustituyeron datos en la interfaz de Safe u obtuvieron acceso a copias de seguridad de claves en computadoras infectadas de los desarrolladores.
¿Qué funciona entonces?
La industria está desplazando el enfoque de auditorías puntuales hacia una protección dinámica. Se están implementando billeteras MPC, que eliminan el punto único de fallo, la abstracción de cuentas con recuperación social, y la autenticación con passkeys para combatir el phishing. Los sistemas de monitoreo en tiempo real, como Forta Network y Hypernative, comienzan a jugar un papel clave. Es revelador el caso del protocolo Venus en septiembre de 2025, cuando el sistema Hexagate de Chainalysis detectó actividad sospechosa 18 horas antes del ataque y pausó automáticamente el protocolo, preservando los fondos.
La arquitectura de Web3 se creó para eliminar la confianza en el ser humano, pero las estadísticas muestran lo contrario. El código perfecto es inútil si el desarrollador hace clic en un enlace de phishing y la comunidad de la DAO duerme durante una captura. Parece que la principal vulnerabilidad sistémica de la economía blockchain son las personas en ambos extremos del cable.
Mi conclusión: estamos presenciando un cambio fundamental en la ciberseguridad. Mientras la industria busca el código perfecto, los hackers explotan la variable más impredecible: el ser humano. Los proyectos que no reconstruyan sus sistemas de seguridad teniendo esto en cuenta pagarán muy caro esta lección.