El principal bug de Web3 es el humano: cómo los ataques a la gobernanza y la IA cambian las reglas del juego
Julio de 2026 será recordado como el momento en que el código de uno de los proyectos de memecoins más conocidos en Solana — BonkDAO — funcionó perfectamente, pero eso no salvó el tesoro. Alrededor de $20 millones fueron retirados legalmente, sin un solo hackeo en el sentido clásico. La votación fue real, pero esto solo subraya una tendencia alarmante: los ataques a la gobernanza se están convirtiendo en la norma, y el factor humano es el principal objetivo de los atacantes.
Ataque a la descentralización: cuando el código no ayuda
El 6 de julio, BonkDAO enfrentó una toma de control de la gobernanza. El atacante, utilizando la propuesta rutinaria BIP #76, añadió una función maliciosa para transferir fondos. Gastando alrededor de $4.4 millones en exchanges centralizados, compró el 1% de la emisión de BONK, suficiente para controlar casi el 100% de los votos con una participación extremadamente baja. Seis días después, la transacción se ejecutó automáticamente.
Este caso reveló fallas fundamentales en la arquitectura: falta de retraso temporal en la ejecución, quórum bajo y ausencia de derecho a veto por parte del equipo. Esto no es un exploit, sino un problema sistémico de los mecanismos de descentralización. Un año antes, un intento similar contra Compound fue repelido, pero solo en la etapa de negociación. No es sorprendente que Vitalik Buterin, ya a principios de 2026, instara a reconsiderar el modelo de votación por tokens, calificándolo de débil y vulnerable a la captura.
La auditoría no es una panacea, y la IA es una nueva amenaza
Mientras unos buscan agujeros en la gobernanza, otros enfrentan problemas en el código. Según datos de analistas, en 2025 el número de incidentes en Web3 disminuyó, pero las pérdidas aumentaron a $2.9–3.4 mil millones. Una señal alarmante: el 90% de los contratos inteligentes hackeados pasaron auditorías con éxito. Los atacantes utilizan métodos obsoletos — reentrancy, errores de acceso, manipulaciones con oráculos. Los puentes entre cadenas son especialmente afectados, habiendo perdido más de $2.8 mil millones desde 2022.
Sin embargo, el principal nuevo desafío es la inteligencia artificial. Los modelos de Anthropic, durante pruebas, atacaron con éxito 207 de 405 contratos realmente hackeados, y en junio de 2026, Chainalysis registró ataques automatizados sincronizados contra decenas de objetivos. La barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Pero ni siquiera el código perfecto salva cuando se roba una clave. Alrededor del 40% de todos los fondos robados en 2024 son el resultado del robo de claves privadas. Los casos de Bybit ($1.46 mil millones) y Humanity Protocol ($31 millones) son ejemplos claros donde el ataque se dirigió al factor humano y al software, no a la blockchain.
La industria responde con la transición a wallets MPC, abstracción de cuentas y monitoreo dinámico. Sistemas como Hexagate ya han demostrado eficacia, previniendo un ataque a Venus Protocol 20 minutos antes de la catástrofe. Pero la conclusión principal sigue siendo la misma: la arquitectura de Web3, creada para eliminar la confianza en el ser humano, en realidad demuestra su importancia crítica. Mientras haya personas en ambos extremos del cable, el código perfecto seguirá siendo solo una teoría bonita.
Mi opinión: la industria debe dejar de depender de auditorías puntuales y pasar a una higiene de seguridad integral, donde la protección de claves y el monitoreo de amenazas en tiempo real jueguen un papel tan importante como la verificación de contratos inteligentes. De lo contrario, seguiremos tratando los síntomas, no la enfermedad.