El factor humano — la principal vulnerabilidad de Web3: análisis de ataques a la gobernanza y la infraestructura
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó sin un solo error, pero unos $20 millones se filtraron de las arcas de la organización. No hubo hackeo en el sentido clásico: la votación fue legítima. Es un claro ejemplo de cómo los ataques a los mecanismos de gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal vector para los atacantes.
Captura de la descentralización: cómo funciona
El 6 de julio de 2026, BonkDAO enfrentó una captura de gobernanza. El atacante robó aproximadamente 4,43 billones de tokens BONK, aprovechando fallas fundamentales en la arquitectura de la DAO y la apatía de la comunidad. La transacción fue completamente legal desde el punto de vista del código.
El esquema del ataque fue el siguiente: disfrazado de propuesta rutinaria, la Propuesta de Mejora de Bonk #76, que supuestamente otorgaba recompensas a los participantes de la votación, el hacker insertó una función maliciosa que transfería los fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Esto fue suficiente para controlar casi el 100% de los votos en medio de una participación extremadamente baja. Seis días después, la propuesta se ejecutó automáticamente.
El incidente reveló deficiencias críticas: falta de retraso temporal en la ejecución de decisiones, umbral de quórum bajo y ausencia de derecho a veto por parte del equipo. El atacante estudió cuidadosamente los estatutos de la organización y encontró el punto débil.
No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499 000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5% de la oferta total de tokens, ese paquete habría sido suficiente para tomar el control. Ese ataque solo pudo repelerse después de que se aprobara la propuesta, mediante negociaciones.
El problema no está en el código, sino en los propios mecanismos de descentralización. No es sorprendente que el cofundador de Ethereum, Vitalik Buterin, a principios de 2026, pidiera rediseñar las DAO, calificando el modelo dominante de gobernanza basado en tokens como "débil" y "vulnerable a la captura".
La auditoría no es una panacea
Mientras en las DAO se buscan brechas sin una sola línea de exploit, la situación con el código es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirieron vulnerabilidades complejas de día cero: se utilizaron métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque difícil de evaluar en su totalidad.
2026 ofreció varios ejemplos reveladores:
- El 8 de enero, el protocolo Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto implementado cinco años antes.
- El 21 de febrero, los atacantes obtuvieron control sobre la clave privada del validador del puente IoTeX y retiraron $4,4 millones, acuñando más de 111 millones de tokens.
- El 18 de abril, el mayor exploit DeFi del año fue el ataque al protocolo de restaking Kelp: se retiraron alrededor de 116 500 rsETH por $292 millones desde el puente en LayerZero. La causa fue una configuración con un único validador de mensajes entre cadenas.
IA al servicio de los hackers
Los nuevos vectores de ataque requieren una reestructuración de la defensa. Sin embargo, los defensores tienen un adversario para el cual el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció que los modelos de IA pudieron atacar con éxito 207 de 405 contratos inteligentes realmente hackeados, extrayendo en simulación $550,1 millones. Esto confirma: la barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit en febrero de 2025 es un ejemplo claro: el exchange perdió $1,46 mil millones en ETH. Los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta, transfiriendo el control de la billetera. En junio de 2026, Humanity Protocol sufrió un incidente similar, perdiendo $31 millones debido a una copia de seguridad de claves en una computadora infectada de un desarrollador.
¿Qué funciona?
La industria está pasando de verificaciones puntuales a monitoreo dinámico. Se implementan billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas automatizados como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque al protocolo Venus con 18 horas de antelación y lo pausó automáticamente 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en las personas, transfiriendo el control a las matemáticas. La realidad demuestra lo contrario: el código perfecto es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria debe reconocer que las auditorías técnicas son solo un mínimo higiénico básico. La seguridad real requiere un enfoque integral que incluya análisis de comportamiento, monitoreo en tiempo real y, lo más importante, una revisión de la propia filosofía de gobernanza, que debe tener en cuenta la naturaleza humana, no ignorarla.