Crypto news

Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente, pero alrededor de $20 millones se evaporaron de las arcas de la organización. No hubo ningún hackeo en el sentido clásico: la votación fue legítima, pero se convirtió en una herramienta de robo.

Analizo por qué los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma, cómo el factor humano se convierte en un objetivo prioritario para los delincuentes, y por qué el análisis de contratos inteligentes obsoletos mediante IA se convierte simultáneamente en una amenaza y una "llave maestra" para los ciberdelincuentes.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO sufrió la captura de su gobernanza descentralizada, lo que resultó en la extracción de aproximadamente 4,43 billones de tokens BONK de sus arcas. El atacante aprovechó fallas fundamentales en la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción absolutamente legal desde el punto de vista del código.

El esquema fue el siguiente: bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que suponía una recompensa para los participantes de la votación, el hacker introdujo una función maliciosa que contemplaba la transferencia de fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.

El incidente reveló deficiencias críticas en el sistema de gobernanza de la DAO: la ausencia de un retraso temporal en la ejecución de decisiones, un quórum demasiado bajo para disponer de grandes sumas y la falta de un derecho de veto de emergencia por parte del equipo. El atacante estudió cuidadosamente los estatutos de la organización y encontró el punto débil.

Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5% de la oferta total, este paquete habría sido suficiente para tomar el control. Ese ataque se pudo repeler, pero solo después de que la propuesta fuera aceptada y mediante negociaciones.

La baja participación y la concentración de tokens no son un exploit de código, sino un problema de los propios mecanismos de descentralización en Web3. No es de extrañar que a principios de 2026, el cofundador de Ethereum, Vitalik Buterin, instara a la comunidad a desarrollar formas más avanzadas de DAO, calificando el modelo de token dominante como improductivo y vulnerable a la captura.

La auditoría no es garantía de seguridad

Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código los problemas son diferentes: errores técnicos, conocidos desde hace tiempo, pero que por alguna razón no se detectaron de antemano. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes pirateados en 2025 pasaron la auditoría con éxito. La mayoría de los ataques no requirieron vulnerabilidades complejas de día cero; se utilizaron métodos conocidos por la industria durante años:

• errores de reentrada (reentrancy);
• errores de control de acceso;
• manipulaciones con oráculos;
• errores lógicos en la lógica de negocio del protocolo.

Los puentes entre cadenas (cross-chain) son especialmente vulnerables. Desde 2022, han perdido colectivamente más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es difícil de evaluar en su totalidad.

2026 ofreció varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al validador del puente de IoTeX con la extracción de $4,4 millones y la acuñación de 111 millones de tokens, así como el mayor exploit DeFi del año: el ataque al protocolo Kelp, donde se extrajeron alrededor de 116,500 rsETH por $292 millones del puente hacia LayerZero. El incidente fue posible debido a un único validador de mensajes entre cadenas y un ataque a la infraestructura RPC de LayerZero.

Un prompt en lugar de un auditor

Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para quien ese análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. En una simulación con el benchmark SCONE-bench (405 contratos realmente pirateados), las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Incluso en contratos pirateados después de marzo de 2025, la IA mostró una alta eficacia.

En la práctica, esto ya está ocurriendo: Chainalysis registra múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades. La barrera de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.

La clave es más importante que el contrato

Ninguna auditoría de contratos inteligentes habría podido prevenir los mayores robos de los últimos dos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados. El hackeo de Bybit en febrero de 2025 ($1,46 mil millones en ETH) es un claro ejemplo: los firmantes en la interfaz de Safe vieron datos manipulados y aprobaron una transacción aparentemente correcta. De manera similar, en junio de 2026, Humanity Protocol se vio afectado, perdiendo $31 millones debido al acceso a las claves a través de una computadora infectada de un desarrollador.

¿Qué funciona entonces?

La industria está cambiando sus enfoques: carteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network y Hypernative rastrean la actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus en septiembre de 2025 demostró su eficacia: el ataque se evitó 20 minutos antes de la transacción final.

La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en las personas, pero las estadísticas demuestran lo contrario. Un código perfectamente escrito es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en las personas en ambos extremos de la conexión.

Mi opinión experta: la industria está experimentando un cambio fundamental, de la protección del código a la protección de los procesos y las personas. Los proyectos que no integren monitoreo en tiempo real y no revisen sus modelos de gobernanza corren el riesgo de convertirse en las próximas víctimas. La cuestión no es si habrá ataques, sino la rapidez con la que la industria se adapte a la nueva realidad.