El factor humano — la principal vulnerabilidad de Web3: análisis de ataques a la gobernanza y nuevas amenazas
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la organización gobernante del memecoin en Solana, funcionó sin un solo error, pero alrededor de $20 millones se evaporaron del tesoro. No hubo hackeo en el sentido clásico: la votación fue legítima, desde el punto de vista del protocolo. Esta es una señal clara: los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma, y el factor humano se transforma en el principal objetivo para los atacantes.
Ataque a la descentralización: cómo funciona
El 6 de julio, BonkDAO enfrentó una toma de control de la gobernanza. El atacante, aprovechando la pasividad de la comunidad, añadió una función maliciosa a la propuesta rutinaria BIP #76, disfrazada de recompensa para los participantes. Gastando alrededor de $4,4 millones en exchanges centralizados, compró el 1% de la emisión de BONK, suficiente para alcanzar el quórum con baja participación. Seis días después, la transacción se ejecutó automáticamente, retirando 4,43 billones de tokens.
La raíz del problema está en la arquitectura de la propia DAO: la falta de un retraso temporal en la ejecución de decisiones, un umbral de quórum demasiado bajo y la ausencia de un veto de emergencia. Esto no es un exploit, sino un defecto fundamental del modelo. Un año antes, se intentó algo similar contra Compound, pero se logró repeler. Sin embargo, el hecho mismo de la repetición indica una crisis sistémica. No es sorprendente que Vitalik Buterin, ya a principios de 2026, pidiera revisar los modelos obsoletos de DAO, calificándolos de "débiles y vulnerables a la toma de control".
La auditoría no es una panacea
Mientras las DAO sufren por los agujeros "humanos", los contratos inteligentes demuestran el problema opuesto. Según datos de analistas, el 90% de los contratos hackeados en 2025 pasaron auditorías con éxito. Los atacantes no buscan vulnerabilidades complejas de día cero, sino que utilizan métodos antiguos y bien conocidos: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos.
Especialmente vulnerables son los puentes cross-chain, que han perdido más de $2,8 mil millones desde 2022, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de su arquitectura crea una enorme superficie de ataque difícil de evaluar en su totalidad. Casos emblemáticos de 2026: el hackeo de Truebit ($26,4 millones) debido a un desbordamiento de tipo entero en un contrato antiguo, el ataque al validador del puente de IoTeX ($4,4 millones) y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp a través del puente LayerZero.
IA: la nueva herramienta del hacker
La situación se agrava con el desarrollo de la inteligencia artificial. Ya en diciembre de 2025, Anthropic demostró cómo los modelos de IA encuentran brechas en contratos inteligentes. En pruebas con 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, "extrayendo" $550,1 millones. Esto no es teoría: Chainalysis ya registra múltiples intentos de hackeo sincronizados, lo que indica una búsqueda automatizada de vulnerabilidades. El umbral de entrada al hacking está cayendo rápidamente: ahora, para atacar, a menudo basta con formular correctamente una solicitud, en lugar de ser un experto en Solidity.
La clave importa más que el contrato
Sin embargo, los robos más sonados de los últimos años no son consecuencia de errores en el código. Según datos de Chainalysis, alrededor del 40% de todos los fondos robados en 2024 correspondieron al robo de claves privadas. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es el ejemplo más claro: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción externamente correcta. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a malware en la computadora de un desarrollador.
¿Qué funciona?
La respuesta no está en auditorías puntuales, sino en un cambio de paradigma en la protección. La industria avanza hacia billeteras MPC, que eliminan un punto único de fallo, abstracción de cuentas con recuperación social y autenticación con passkeys. La tendencia clave es el monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network o Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. Este enfoque ya ha demostrado su eficacia: en septiembre de 2025, la pausa automática del protocolo Venus, 20 minutos antes del ataque final, salvó todos los fondos.
Web3 se diseñó como un sistema que excluye la confianza en el ser humano. Pero las estadísticas son implacables: el código perfecto es impotente frente a un enlace de phishing abierto por un desarrollador o una comunidad DAO dormida. Parece que la principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas. Y mientras sea así, la seguridad dependerá no solo de las matemáticas, sino también de nuestra capacidad para anticipar el error humano.