Crypto news

Julio de 2026 se convirtió en un hito para la seguridad de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente, pero eso no impidió que los atacantes extrajeran alrededor de $20 millones de la tesorería. No se trata de un hackeo en el sentido clásico: la votación fue absolutamente legítima desde un punto de vista técnico.

Este incidente es una clara ilustración de cómo los ataques a la gobernanza se convierten en una herramienta estándar de los hackers, y el factor humano se transforma en su principal aliado. Además, el análisis con IA de contratos inteligentes obsoletos hoy actúa simultáneamente como una amenaza y una ganzúa para los ciberdelincuentes.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza, lo que resultó en el robo de aproximadamente 4,43 billones de tokens BONK de la tesorería. El atacante utilizó debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción totalmente conforme al código.

El esquema resultó ser de una simplicidad banal: bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía recompensar a los participantes de la votación, el hacker insertó una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.

Este caso reveló fallos críticos en los sistemas de gobernanza de las DAO: la ausencia de un mecanismo de retraso temporal en la ejecución de decisiones, un quórum demasiado bajo para disponer de sumas enormes y la falta de derechos de veto de emergencia por parte del equipo.

Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5% de la oferta total de tokens, ese paquete habría sido suficiente para el control total. Ese ataque solo pudo repelerse después de que se aprobara la propuesta, mediante negociaciones.

La baja participación y la concentración de tokens no son una explotación de un error en el código, sino un problema sistémico de los mecanismos de descentralización en Web3. No es sorprendente que, ya a principios de 2026, el cofundador de Ethereum, Vitalik Buterin, instara a la comunidad a desarrollar formas más avanzadas de DAO, calificando el modelo de gobernanza por tokens dominante como "improductivo y débil", vulnerable a la captura.

La auditoría no es garantía de seguridad

Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirió buscar vulnerabilidades complejas de día cero; los atacantes utilizaron métodos conocidos desde hace tiempo:

• errores de reentrada (reentrancy);
• errores de control de acceso;
• manipulaciones con oráculos;
• errores lógicos en la lógica de negocio del protocolo.

Los puentes entre cadenas (cross-chain) generan especial preocupación. Desde 2022, han perdido en conjunto más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una enorme superficie de ataque que es físicamente difícil de evaluar en su totalidad para los especialistas.

2026 ofreció varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al puente de IoTeX con control sobre la clave privada del validador y el mayor exploit DeFi del año: la extracción de aproximadamente 116,500 rsETH por $292 millones del protocolo Kelp a través de un puente en LayerZero.

Un prompt en lugar de un auditor

Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante una simulación en el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo en total $550,1 millones.

En la práctica, esto ya está ocurriendo: los especialistas de Chainalysis registran múltiples intentos de hackeo casi idénticos contra diferentes contratos simultáneamente, lo que indica una fuerza bruta automatizada de vulnerabilidades. El umbral de entrada al hacking disminuye notablemente más rápido de lo que crece la calidad de la protección.

La clave importa más que el contrato

Ninguna auditoría de contrato inteligente habría podido prevenir los mayores robos de los últimos dos años. Según Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados, más que cualquier otro vector de ataque.

Es revelador el hackeo de Bybit en febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos, sustituyendo los datos en la interfaz de Safe. Los firmantes aprobaron una transacción aparentemente correcta que, en realidad, transfería el control de la billetera a los ciberdelincuentes. De manera similar, en junio de 2026, Humanity Protocol se vio afectado, perdiendo alrededor de $31 millones debido al acceso a las claves a través de una computadora infectada de un desarrollador.

¿Qué funciona entonces?

Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías por sí solas no son suficientes. La industria está desplazando el enfoque hacia:

• billeteras MPC, que eliminan un único punto de fallo;
• abstracción de cuentas con recuperación social;
• autenticación con passkeys para contrarrestar el phishing;
• billeteras de hardware y frías en lugar de soluciones de software.

La protección pasa gradualmente de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Los proyectos implementan sistemas automatizados como Forta Network y Hypernative, que rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. Este modelo ya ha demostrado eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque al protocolo Venus 18 horas antes de la fase principal, lo que permitió detenerlo automáticamente 20 minutos antes de la transacción final.

La arquitectura de Web3 se diseñó con un objetivo radical: eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito resulta impotente si un desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.

Mi conclusión: la industria está experimentando un cambio de paradigma fundamental. Estamos acostumbrados a confiar en el código, pero las amenazas reales se encuentran en el ámbito de la ingeniería social y los procesos de gobernanza. Los proyectos que no revisen sus modelos de seguridad teniendo en cuenta el factor humano tendrán que pagar muy caro por ese error.