El factor humano: la principal vulnerabilidad de la industria cripto que no se puede corregir con código
En julio de 2026, el código de BonkDAO —la organización gestora de la memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados de las arcas. No hubo ningún hackeo en el sentido habitual: la votación fue legítima, desde el punto de vista del código.
Este es un claro ejemplo de cómo los ataques a la gobernanza se están convirtiendo en la nueva norma. El factor humano se está convirtiendo en el principal vector de ataque, y el análisis con IA de contratos inteligentes antiguos se convierte simultáneamente en una amenaza y en una herramienta para los atacantes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza. El atacante aprovechó las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad. Bajo la apariencia de una iniciativa rutinaria, la Bonk Improvement Proposal #76, que suponía una recompensa para los participantes, el hacker añadió una función maliciosa para transferir fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
El éxito del ataque reveló deficiencias críticas: falta de retardo temporal en la ejecución, umbral de quórum bajo y ausencia de derecho a veto por parte del equipo. No es un caso aislado. Un año antes, se intentó algo similar contra la DAO del protocolo Compound, pero se logró repeler.
La baja participación y la concentración de tokens no son un exploit, sino un problema de los mecanismos de descentralización. No es de extrañar que Vitalik Buterin, ya a principios de 2026, instara a reconsiderar el modelo dominante de gobernanza basado en tokens, calificándolo de vulnerable a la captura.
La auditoría no es un indicador
Mientras en las DAO se buscan agujeros sin una sola línea de exploit, con el código ocurre lo contrario. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron con éxito la auditoría. Los atacantes utilizan métodos conocidos desde hace años: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una enorme superficie de ataque difícil de evaluar en su totalidad.
2026 ofreció ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al puente de IoTeX mediante el control de la clave privada de un validador ($4,4 millones) y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp a través de un único validador de mensajes entre cadenas.
Un prompt en lugar de un auditor
El nuevo adversario es la IA. En diciembre de 2025, Anthropic anunció que sus modelos pudieron atacar 207 de los 405 contratos inteligentes realmente hackeados en el marco del benchmark SCONE-bench, extrayendo $550,1 millones. Esto reduce la barrera de entrada al hacking: para ataques típicos, ahora basta con formular correctamente una solicitud.
Chainalysis ya registra múltiples intentos de hackeo casi idénticos contra diferentes contratos al mismo tiempo, lo que indica un barrido automatizado de vulnerabilidades.
La clave importa más que el contrato
Ninguna auditoría habría prevenido los mayores robos. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit por $1,46 mil millones es un claro ejemplo: los firmantes aprobaron una transacción sustituida en la interfaz de Safe. De manera similar, Humanity Protocol se vio afectado en junio de 2026, perdiendo $31 millones debido a claves almacenadas en un ordenador infectado de un desarrollador.
¿Qué funciona entonces?
La industria está pasando de auditorías puntuales a un monitoreo dinámico. Se están implementando carteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque.
El modelo de respuesta preventiva ya funciona: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó actividad sospechosa 18 horas antes del ataque al protocolo Venus y, 20 minutos antes de la transacción final, pausó automáticamente el protocolo. Los fondos permanecieron a salvo.
La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Las estadísticas muestran el efecto contrario. El código perfecto es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria está pasando del paradigma de «proteger el código» al paradigma de «proteger el proceso». Pero hasta que no resolvamos el problema de la apatía humana en la gobernanza y creemos mecanismos reales de contención, cualquier solución tecnológica será solo un parche temporal.