El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y al código en 2025–2026
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la organización gobernante del memecoin en Solana, funcionó impecablemente, pero unos $20 millones se evaporaron del tesoro. No hubo ningún hackeo en el sentido clásico: la votación fue legítima. Este es un claro ejemplo de cómo los ataques a los mecanismos de gobernanza se convierten en la nueva norma, y el factor humano pasa a ocupar el primer lugar entre los vectores de ataque.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de gobernanza, que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no hackeó el código, sino que aprovechó las debilidades arquitectónicas de la DAO y la pasividad de la comunidad. Bajo la apariencia de una propuesta inofensiva, Bonk Improvement Proposal #76, que preveía recompensas para los participantes de la votación, se introdujo una función maliciosa de transferencia de fondos.
Para alcanzar el quórum, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía mecanismo de demora temporal, el quórum era demasiado bajo y el equipo no tenía derecho a veto.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, intentando retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se pudo repeler, pero solo después de que se aprobara la propuesta y mediante negociaciones. El problema es evidente: la baja participación y la concentración de tokens no son un error en el código, sino un defecto fundamental de los modelos de descentralización en Web3. El cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 criticaba el modelo dominante de gobernanza basado en tokens, calificándolo de vulnerable a la captura e incapaz de mitigar las deficiencias de la política humana.
La auditoría no es garantía de seguridad
Mientras en las DAO se buscan fallos sin una sola línea de exploit, la situación con el código es diferente. Según datos de analistas, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. Los atacantes no utilizaron vulnerabilidades complejas de día cero, sino métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio de los protocolos.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. El año 2026 ofreció varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al puente de IoTeX con control sobre la clave privada del validador, y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp debido a un único validador de mensajes entre cadenas.
La IA como nueva herramienta de los hackers
La industria se enfrenta a un nuevo adversario para el cual el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas: en una simulación, las redes neuronales atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550,1 millones. Ya en junio, los analistas registraron múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica un barrido automatizado de vulnerabilidades. El umbral de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos dos años. Según datos de informes, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un claro ejemplo: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. Una suerte similar corrió Humanity Protocol en junio de 2026: el acceso a las claves se obtuvo a través de una copia de seguridad en una computadora infectada de un desarrollador, con pérdidas de $31 millones.
¿Qué funciona entonces?
La industria está desplazando el enfoque de verificaciones puntuales hacia un monitoreo dinámico. Se están implementando billeteras MPC, que eliminan el punto único de falla, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas automatizados como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus mostró su eficacia: el sistema de monitoreo detectó actividad sospechosa 18 horas antes del ataque y pausó automáticamente el protocolo 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en el ser humano, pero las estadísticas demuestran lo contrario. Un código perfectamente escrito es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante una toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas. Parece que este factor será determinante para el desarrollo de la industria en los próximos años.