El factor humano: la principal vulnerabilidad de Web3 que una auditoría no puede corregir
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la organización gestora del memecoin homónimo en Solana, funcionó perfectamente. Y fue precisamente esto lo que permitió a los atacantes extraer alrededor de $20 millones de la tesorería. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y el código ejecutó exactamente lo que se le pedía.
Este incidente es una clara ilustración de cómo los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma. El factor humano y la pasividad de la comunidad ahora juegan a favor de los hackers tanto como los errores en el código. Además, el análisis de contratos inteligentes antiguos mediante IA se ha convertido en una espada de doble filo: ayuda a los defensores a encontrar vulnerabilidades, pero en manos de los atacantes se convierte en una llave maestra universal.
La captura de la descentralización
El 6 de julio de 2026, BonkDAO enfrentó una captura clásica de gobernanza. El atacante, aprovechando la pasividad de la comunidad, inició una votación sobre la propuesta BIP #76, que se disfrazaba de un reparto rutinario de recompensas. Sin embargo, en su interior se escondía una función maliciosa que transfería los fondos de la tesorería a la dirección del atacante.
Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Esto fue suficiente para controlar casi el 100% de los votos con una baja participación. Seis días después, la propuesta se ejecutó automáticamente.
El ataque reveló problemas fundamentales en la arquitectura de la DAO: la falta de un retraso temporal en la ejecución, un umbral de quórum demasiado bajo para gestionar sumas enormes y la ausencia de un derecho de veto de emergencia por parte del equipo. Este no es un caso aislado. Un año antes, se intentó un ataque similar contra Compound, pero se logró repeler. Entonces, como ahora, el problema no estaba en el código, sino en los mecanismos de descentralización que permiten concentrar el poder en unas pocas manos.
La auditoría no es una panacea
Es revelador que, según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. Los atacantes no buscan vulnerabilidades complejas de día cero, sino que utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables, habiendo perdido más de $2,8 mil millones desde 2022, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de su arquitectura crea una amplia superficie de ataque que es extremadamente difícil de evaluar para el ojo humano.
2026 ofreció varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato antiguo, el ataque al puente de IoTeX mediante la compromisión de la clave privada de un validador, y el mayor exploit del año: el robo de $292 millones de Kelp a través de un único validador de mensajes entre cadenas de LayerZero.
La IA como nuevo actor
Mientras los especialistas analizaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. Ya en diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. En las pruebas con el benchmark SCONE-bench, las redes neuronales atacaron con éxito 207 de los 405 contratos realmente hackeados, "extrayendo" $550,1 millones. Esto indica que la barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
Pero ni siquiera la auditoría más avanzada habría salvado de los mayores robos. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un claro ejemplo: los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. Un esquema similar funcionó contra Humanity Protocol en junio de 2026, cuando las claves fueron robadas a través de una computadora infectada de un desarrollador.
La industria se está desplazando gradualmente de las auditorías puntuales al monitoreo dinámico. Sistemas como Forta Network e Hypernative rastrean anomalías en el mempool en tiempo real. El ejemplo de Venus Protocol demostró que un bloqueo preventivo 20 minutos antes de la transacción final puede salvar millones.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Pero las estadísticas de los últimos años demuestran lo contrario: el código perfecto es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain son las personas en ambos extremos del cable. Y hasta que no resolvamos este problema, ninguna auditoría ni defensor de IA hará que la industria sea verdaderamente segura.