El factor humano es la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y hackeos con IA
Julio de 2026 se convirtió en un hito para todo el ecosistema de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente, sin un solo error. Y sin embargo, unos $20 millones desaparecieron sin dejar rastro del tesoro. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en total conformidad con el código.
Este incidente es el síntoma más claro de un problema sistémico que se está convirtiendo en la nueva norma. Se trata de ataques a los mecanismos de gobernanza, donde el principal vector no es una vulnerabilidad técnica, sino la apatía humana y la imperfección de los modelos de gobernanza.
Toma de control: robo legal
El 6 de julio de 2026, un atacante llevó a cabo una operación que pasará a los libros de texto sobre seguridad DeFi. Utilizando la propuesta rutinaria Bonk Improvement Proposal #76 sobre recompensas para participantes, el hacker insertó en ella una función maliciosa que transfería automáticamente los fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones, comprando en exchanges centralizados el 1% de toda la emisión de BONK. Con una baja participación, esto fue suficiente para controlar casi el 100% de los votos, y seis días después la propuesta se ejecutó automáticamente.
La raíz del problema está en la arquitectura de la propia DAO. La falta de un retraso temporal en la ejecución de decisiones, el bajo umbral de quórum y la ausencia de un veto de emergencia por parte del equipo convirtieron a la organización en presa fácil. No es un caso aislado. Un año antes, se intentó un ataque similar contra Compound, donde los atacantes sometieron a votación una propuesta maliciosa por $24,1 millones. Ese ataque se pudo repeler, pero solo a posteriori, mediante negociaciones, no por medios técnicos.
El cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 advertía sobre la debilidad de los modelos de gobernanza orientados a tokens. Con razón los calificó de "vulnerables a la captura" e incapaces de resolver los problemas de la política humana. La baja participación y la concentración de tokens no son un error, sino un defecto fundamental del concepto de democracia Web3.
La auditoría no es una garantía: la IA al servicio de los hackers
Mientras los ataques a la gobernanza golpean la lógica de la descentralización, los hackeos clásicos de código muestran una tendencia alarmante. Los analistas de Kerberus calcularon que el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. Los atacantes no buscan vulnerabilidades complejas de día cero; explotan errores conocidos desde hace años: reentrancy, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Especialmente preocupante es el uso de la inteligencia artificial. En diciembre de 2025, Anthropic presentó el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados. Los modelos de IA atacaron con éxito 207 de ellos, "extrayendo" $550,1 millones virtuales. Esto significa que la barrera de entrada al hacking ha caído en picado. Ahora, para encontrar vulnerabilidades no se necesita un desarrollador experimentado de Solidity; basta con formular correctamente un prompt. Chainalysis ya registra múltiples intentos sincronizados de hackeo de decenas de contratos, lo que indica ataques automatizados con IA.
Los mayores incidentes de 2026 confirman esta tendencia: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el compromiso de la clave del validador del puente de IoTeX y el récord de explotación de Kelp por $292 millones, posible debido a un único validador de mensajes entre cadenas.
Claves, no código
Sin embargo, la conclusión más alarmante es que ninguna auditoría habría evitado los mayores robos. Según Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos sustraídos, más que cualquier otro vector. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es el ejemplo más claro: los firmantes en la interfaz de Safe aprobaron una transacción sustituida, entregando el control de la billetera a los hackers. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a un malware en la computadora de un desarrollador.
La industria se ve obligada a adaptarse. Las revisiones puntuales están siendo reemplazadas por sistemas dinámicos de monitoreo en tiempo real, como Forta Network y Hypernative. Es revelador el caso de Venus Protocol, donde el sistema Hexagate detectó la preparación de un ataque con 18 horas de antelación y detuvo automáticamente el protocolo 20 minutos antes de la transacción final.
Mi opinión experta: Estamos presenciando una paradoja fundamental. Web3 se creó para eliminar la confianza en el ser humano, pero es precisamente el ser humano el eslabón más débil. El código perfecto es impotente contra un enlace de phishing o una comunidad DAO dormida. Hasta que la industria no resuelva el problema del factor humano —mediante la recuperación social de claves, billeteras MPC y programas educativos—, cualquier innovación técnica será solo un parche temporal sobre una herida profunda.