El principal bug del blockchain es el humano: cómo los ataques a DAO y el robo de claves ponen en duda el propio sentido de la descentralización
Julio de 2026 no se recordará por un hackeo en el sentido clásico, sino por la explotación perfecta de la apatía humana. El código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó sin un solo error. Sin embargo, el tesoro perdió alrededor de $20 millones. No fue un ataque a una vulnerabilidad, sino una votación legal, desde el punto de vista del código, que se convirtió en una catástrofe.
Ataque a la descentralización: cuando el código no ayuda
El 6 de julio de 2026, un atacante ejecutó un esquema que debería convertirse en un manual para todas las DAO. Bajo la apariencia de una mejora rutinaria (BIP #76) sobre recompensas para participantes, se insertó una función maliciosa de transferencia de fondos en la propuesta. Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones, comprando el 1% de la emisión de BONK en exchanges centralizados. Con baja participación, esto fue suficiente para controlar casi el 100% de los votos.
El problema clave no está en el código, sino en la arquitectura de gobernanza. La falta de un mecanismo de retardo temporal (timelock) y de veto de emergencia no dejó al equipo ninguna oportunidad de salvar los fondos. Esto no es un caso aislado. Un año antes, se intentó un ataque similar contra Compound, pero allí se logró repeler. La baja participación y la concentración de tokens son una enfermedad sistémica de Web3, no un bug. No es sorprendente que Vitalik Buterin ya a principios de 2026 pidiera una revisión completa del concepto de DAO, calificando el modelo actual de débil y vulnerable a la captura.
La auditoría como ficción: el 90% de los contratos hackeados fueron auditados
Mientras las DAO sufren por la inacción de la comunidad, los contratos inteligentes son atacados con esquemas antiguos y bien conocidos. Los datos de los analistas de Kerberus son impactantes: el 90% de los contratos hackeados en 2025 pasaron auditorías con éxito. Los atacantes no buscan vulnerabilidades complejas de día cero, sino que utilizan errores clásicos de reentrancy, problemas de control de acceso y manipulaciones con oráculos. Los puentes cross-chain son especialmente afectados, habiendo perdido más de $2,8 mil millones desde 2022, alrededor del 40% de todos los fondos robados en la industria.
Casos destacados de 2026:
- Truebit (enero) — pérdida de $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto.
- IoTeX (febrero) — el control de la clave privada del validador del puente permitió actualizar el contrato a una versión maliciosa y retirar $4,4 millones.
- Kelp (abril) — el mayor exploit del año: $292 millones del puente LayerZero debido a un único validador y un ataque a la infraestructura RPC.
La IA como nueva amenaza y salvación
La industria se enfrenta a un adversario para el cual el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench. Los modelos de IA atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550 millones simulados. La barrera de entrada al hacking está bajando catastróficamente rápido. Ahora, para atacar un contrato típico, basta con formular correctamente un prompt, en lugar de ser un experto en Solidity. Esto también lo confirma Chainalysis, que registra múltiples intentos de hackeo sincronizados, lo que indica un barrido automatizado.
Sin embargo, el principal vector de ataques se ha desplazado. Según datos de Chainalysis de 2024, el robo de claves privadas es la causa del 40% de todas las pérdidas. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 o el ataque a Humanity Protocol en junio de 2026 ($31 millones) no son explotación de código, sino compromiso del factor humano y de los dispositivos de trabajo.
Lo que funciona: protección dinámica
La industria se ve obligada a adaptarse. Las auditorías puntuales están siendo reemplazadas por sistemas de monitoreo en tiempo real, como Forta Network e Hypernative. Estas soluciones rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. Es ilustrativo el caso de Venus Protocol en septiembre de 2025, cuando el sistema Hexagate de Chainalysis detectó actividad sospechosa 18 horas antes del ataque y congeló el protocolo 20 minutos antes de la transacción final. Los fondos se salvaron y los hackers desperdiciaron sus recursos.
Mi conclusión: hemos sido testigos de un cambio fundamental. La idea de Web3 era eliminar la confianza en el ser humano a través de las matemáticas. Pero la realidad es que el eslabón más débil sigue siendo el ser humano: sus claves, su apatía y sus errores. Mientras la industria no resuelva el problema de la ingeniería social y la gobernanza, ninguna auditoría ni algoritmo complejo evitará las pérdidas. La tecnología mejora, pero las personas no.