Julio de 2026. El código de BonkDAO —la estructura de gobernanza del memecoin en Solana— funcionó perfectamente, sin un solo error. Y aun así, unos $20 millones desaparecieron del tesoro. No hubo hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en pleno cumplimiento de las reglas del protocolo. Esto no es un ataque de hackers, es un fallo sistémico de la gobernanza descentralizada.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control. El atacante extrajo alrededor de 4,43 billones de tokens BONK, aprovechando debilidades fundamentales en la arquitectura de la DAO y la apatía de la comunidad. El esquema fue elegante: disfrazado de propuesta rutinaria, la Bonk Improvement Proposal #76, que preveía recompensas por participar en la votación, se introdujo en el código una función maliciosa para transferir fondos a la dirección del atacante.
Para alcanzar el quórum, el hacker gastó unos $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía mecanismo de demora temporal, el quórum era demasiado bajo y el equipo no tenía derecho a veto. El atacante simplemente leyó atentamente los estatutos de la organización y encontró un punto débil.
No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499 000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación estándar del 4–5%, ese paquete habría sido suficiente para el control total. Ese ataque se pudo repeler, pero solo después de que se aprobara la propuesta, mediante negociaciones. La baja participación y la concentración de tokens no son un error en el código, sino un problema de los propios mecanismos de descentralización en Web3.
La auditoría no es garantía de seguridad
Según mis datos, en 2025 el número de incidentes en Web3 se redujo casi a la mitad, hasta ~200 frente a los 410 del año anterior. Sin embargo, las pérdidas totales aumentaron de $2 mil millones a $2,9 mil millones. Los expertos de Chainalysis estiman el daño aún mayor, en $3,4 mil millones, señalando que los tres casos más grandes representaron el 69% de todas las pérdidas. La brecha entre el ataque más grande y el promedio fue 1000 veces mayor, algo sin precedentes en la historia.
Además, el 90% de los contratos inteligentes vulnerados en 2025 habían pasado auditorías con éxito. Los atacantes no buscaban vulnerabilidades complejas de día cero; usaban métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio de los protocolos. Los puentes entre cadenas son especialmente vulnerables: desde 2022 han perdido más de $2,8 mil millones, lo que representa alrededor del 40% de todos los fondos robados en Web3.
2026 ha dado varios ejemplos reveladores:
- Truebit (8 de enero): pérdida de $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, desplegado hace cinco años. Un error clásico que podría haberse encontrado con una reauditoría.
- IoTeX (21 de febrero): el control de la clave privada de un validador del puente permitió actualizar el contrato a una versión maliciosa y extraer $4,4 millones, acuñando 111 millones de tokens.
- Kelp (18 de abril): el mayor exploit DeFi del año: $292 millones del puente en LayerZero debido a un único validador y un ataque a la infraestructura RPC.
La IA, una nueva amenaza
Mientras los especialistas analizaban patrones repetidos, apareció un adversario para quien ese análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. En una simulación con el benchmark SCONE-bench (405 contratos realmente vulnerados entre 2020 y 2025), las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Incluso en contratos vulnerados después de marzo de 2025 (34 en total), la IA mostró una alta eficacia. En la práctica, esto ya está ocurriendo: Chainalysis registra múltiples intentos de ataque casi idénticos contra diferentes contratos al mismo tiempo, lo que indica un barrido automatizado de vulnerabilidades.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos dos años. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de alrededor del 40% de los fondos sustraídos, más que cualquier otro vector de ataque. El hackeo de Bybit el 21 de febrero de 2025 ($1,46 mil millones en ETH) es un claro ejemplo: los firmantes aprobaron una transacción manipulada en la interfaz de Safe, entregando el control de la billetera a los atacantes. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria está desplazando el enfoque de las auditorías puntuales hacia el monitoreo dinámico. Las billeteras MPC, la abstracción de cuentas con recuperación social, la autenticación con passkey y los almacenes de hardware se están convirtiendo en el estándar. Sistemas como Forta Network e Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El caso de Venus Protocol el 2 de septiembre de 2025 es ilustrativo: el sistema Hexagate detectó actividad sospechosa 18 horas antes del ataque, y 20 minutos antes de la transacción final, el protocolo se pausó automáticamente. Los fondos permanecieron a salvo.
La arquitectura de Web3 se creó para eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Pero las estadísticas muestran lo contrario: un código perfectamente escrito es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante una toma de control de una DAO.
Mi comentario: Estamos presenciando un cambio fundamental en las amenazas. La industria ha superado la etapa en la que la seguridad se garantizaba con la calidad del código. Ahora, el principal vector de ataque es la psicología humana y los procesos de toma de decisiones. Los proyectos que no reestructuren sus sistemas de gobernanza y almacenamiento de claves teniendo esto en cuenta tendrán que aprender de los errores ajenos, o convertirse en sus autores.