El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y nuevos vectores de amenaza
Julio de 2026 será recordado como el momento en que el código de la organización descentralizada BonkDAO funcionó impecablemente, pero esto no salvó su tesorería. Alrededor de $20 millones fueron retirados sin un solo hackeo en el sentido clásico: la votación fue absolutamente legítima. Este incidente es un síntoma claro de que los ataques a la gobernanza se están convirtiendo en la nueva norma, y el factor humano se transforma en un objetivo prioritario para los atacantes.
Ataque a la descentralización: robo legal
El 6 de julio de 2026, BonkDAO sufrió una toma de control de gobernanza. El atacante robó alrededor de 4,43 billones de tokens BONK, aprovechando debilidades fundamentales en la arquitectura de la DAO y la pasividad de la comunidad. El esquema fue elegante en su simplicidad: bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que prometía recompensas a los participantes, se añadió una función maliciosa al código que redirigía los fondos a la dirección del atacante.
Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El éxito del ataque reveló fallos críticos: ausencia de retraso temporal en la ejecución, un umbral de quórum demasiado bajo y falta de derecho a veto por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5%, este paquete habría sido suficiente para el control, pero el ataque se pudo repeler después de la decisión, mediante negociaciones. La baja participación y la concentración de tokens no son un error en el código, sino un problema sistémico de los mecanismos de descentralización en Web3. El cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 instaba a revisar el modelo dominante de gobernanza por tokens, calificándolo de "débil y vulnerable a la captura".
La auditoría no es una panacea
Mientras en las DAO se buscan agujeros sin una sola línea de exploit, con el código la situación es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirió vulnerabilidades complejas de día cero; se utilizaron métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una amplia superficie de ataque. El año 2026 ofreció ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al puente IoTeX con control sobre la clave privada del validador y el robo de $4,4 millones, así como el mayor exploit del año: la extracción de $292 millones del protocolo Kelp mediante una configuración con un único validador en LayerZero.
La IA como nueva amenaza y herramienta de protección
La aparición de modelos de IA para la búsqueda de vulnerabilidades cambia radicalmente el panorama de amenazas. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench con 405 contratos realmente hackeados. Las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones simulados. Los analistas de Chainalysis ya registran actividad anómala: múltiples intentos de hackeo casi idénticos de diferentes contratos al mismo tiempo, lo que indica un barrido automatizado de vulnerabilidades. El umbral de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un ejemplo claro: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción externamente correcta, transfiriendo el control de la billetera. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
Nuevo paradigma de protección
La industria se desplaza de verificaciones puntuales a monitoreo dinámico. Se implementan billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento de hardware. Sistemas automatizados como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque a Venus Protocol con 18 horas de anticipación y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó con un objetivo radical: eliminar la confianza en el ser humano. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: estamos observando un cambio fundamental de "hackear el código" a "hackear a la persona". Inversores y equipos de proyectos deberían reconsiderar sus prioridades: invertir recursos no solo en auditorías de contratos inteligentes, sino también en seguridad operativa, capacitación de empleados y mecanismos de respuesta de emergencia a nivel de gobernanza. De lo contrario, incluso el código más perfecto seguirá siendo solo una decoración costosa.