El factor humano — la principal vulnerabilidad de DeFi: análisis de ataques a la gobernanza y la infraestructura en 2025–2026
Julio de 2026 será recordado en la industria cripto no por el hype, sino por un incidente ejemplar: el código de BonkDAO, la estructura de gobernanza del memecoin en Solana, funcionó sin un solo fallo. Y, sin embargo, de las arcas de la organización se evaporaron alrededor de $20 millones. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en total conformidad con el código. Esto no es un bug, es una función que costó millones.
Ataque a la descentralización: cuando el código no tiene la culpa
El 6 de julio de 2026, BonkDAO enfrentó una toma de control. El atacante robó aproximadamente 4,43 billones de tokens BONK, aprovechando fallas fundamentales en la arquitectura de la DAO y la apatía de la comunidad. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que prometía recompensas por participar en la votación, el hacker insertó una función maliciosa que transfería los fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una baja participación, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía ningún mecanismo de retraso temporal, ni derecho de veto por parte del equipo, ni un umbral de quórum adecuado para sumas tan grandes.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound: los atacantes querían retirar 499,000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación del 4–5%, se logró el control de la votación, pero el ataque se pudo repeler después de que se tomara la decisión, mediante negociaciones. El problema no está en el código, sino en los propios mecanismos de descentralización, que resultan vulnerables a la concentración de tokens y a la pasividad de los tenedores.
La auditoría no es una panacea
Mientras las DAO buscan fallas en la gobernanza, los smart contracts sufren del problema opuesto. Según datos de analistas, el 90% de los contratos hackeados en 2025 pasaron auditorías exitosamente. Los atacantes no buscan vulnerabilidades complejas de día cero; utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo. Los puentes cross-chain, que han perdido más de $2,8 mil millones desde 2022 (alrededor del 40% de todos los fondos robados en Web3), siguen siendo el objetivo más atractivo debido a su complejidad y naturaleza multicomponente.
2026 ha dado varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al puente de IoTeX con control sobre la clave privada del validador, y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp a través del puente LayerZero. Todo esto no son ataques de alta tecnología, sino la explotación de debilidades conocidas desde hace tiempo.
La IA al servicio de los hackers
La situación se agrava con el desarrollo de la inteligencia artificial. En diciembre de 2025, Anthropic anunció que estaba probando modelos de IA en el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados. Las redes neuronales atacaron con éxito 207 de ellos, "extrayendo" $550,1 millones. La barrera de entrada al hacking está cayendo rápidamente: ahora no se necesita un desarrollador experimentado de Solidity para encontrar vulnerabilidades, basta con formular el prompt correcto.
La clave importa más que el contrato
Sin embargo, ninguna auditoría habría salvado de los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados, más que cualquier otro vector de ataque. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es el ejemplo más claro: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta, entregando el control de la billetera a los hackers. De manera similar, Humanity Protocol sufrió la pérdida de $31 millones debido a malware en la computadora de un desarrollador.
La industria está desplazando gradualmente el enfoque de auditorías puntuales hacia un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool en tiempo real. El caso de Venus Protocol en septiembre de 2025 es ilustrativo: un sistema automático detectó actividad sospechosa 18 horas antes del ataque y detuvo el protocolo 20 minutos antes de la transacción final, preservando los fondos.
Mi conclusión: Hemos construido sistemas complejos destinados a eliminar la confianza humana, pero al final nos topamos con que el ser humano sigue siendo el eslabón más débil. Un código perfectamente escrito es impotente ante un enlace de phishing abierto por un desarrollador, o una comunidad que duerme durante una toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en nosotros mismos.