El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a DAO y contratos inteligentes en 2025-2026
Julio de 2026 se convirtió en un hito para todo el ecosistema de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobierno del popular memecoin en Solana, funcionó perfectamente, sin un solo error. Sin embargo, esto no impidió que los atacantes sustrajeran alrededor de $20 millones de la tesorería. No hubo un hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en total conformidad con el código.
Este incidente es una clara ilustración de cómo los ataques a la gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal vector de ataque. Al mismo tiempo, el desarrollo de la IA abre nuevos horizontes para los hackers, permitiendo automatizar la búsqueda de vulnerabilidades en contratos inteligentes antiguos.
Captura de la descentralización: anatomía del ataque a BonkDAO
El 6 de julio de 2026, BonkDAO enfrentó una captura de gobernanza sin precedentes. El atacante, aprovechando las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad, robó alrededor de 4,43 billones de tokens BONK. El esquema fue simple y elegante: bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía una recompensa para los participantes, se añadió una función maliciosa de transferencia de fondos.
Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Hubo varias vulnerabilidades críticas: la falta de un retraso temporal en la ejecución de decisiones, un quórum demasiado bajo y la ausencia de derecho a veto por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones), y solo gracias a negociaciones tras la aprobación de la propuesta se logró repeler el ataque. La baja participación y la concentración de tokens no son un error de código, sino un problema sistémico de los mecanismos de descentralización en Web3. Ya a principios de 2026, Vitalik Buterin instaba a reconsiderar el modelo dominante de gobernanza basado en tokens, calificándolo de vulnerable a la captura e ineficaz.
La auditoría no es una panacea
Mientras en la gobernanza de las DAO se buscan fallos sin una sola línea de exploit, los problemas de código tienen otra naturaleza. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. La mayoría de los ataques no requerían vulnerabilidades complejas de día cero; se utilizaron métodos conocidos: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
La cuestión de la seguridad de los puentes entre cadenas es especialmente acuciante. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque difícil de evaluar en su totalidad. Los ejemplos de 2026 son reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al puente IoTeX con control sobre la clave privada del validador ($4,4 millones) y el mayor exploit del año: el ataque a Kelp, donde se extrajeron $292 millones en rsETH del puente LayerZero.
La IA como nueva herramienta de ataque
Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual el análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. En una simulación con el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. En la práctica, esto ya está ocurriendo: Chainalysis registra múltiples intentos simultáneos de hackeo de diferentes contratos, lo que indica un barrido automatizado de vulnerabilidades. El umbral de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH, es un claro ejemplo. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. De manera similar, en junio de 2026, Humanity Protocol sufrió pérdidas ($31 millones): las claves fueron robadas a través de una computadora infectada de un desarrollador.
¿Qué funciona?
La industria está cambiando sus enfoques: se implementan carteras MPC que eliminan el punto único de fallo, abstracción de cuentas con recuperación social y autenticación con passkeys para combatir el phishing. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus es revelador: el sistema Hexagate detectó la preparación de un ataque con 18 horas de antelación, y el protocolo se pausó automáticamente 20 minutos antes de la transacción final.
Web3 fue diseñado con el objetivo de eliminar la confianza en las personas, pero las estadísticas demuestran lo contrario. Un código perfectamente escrito es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi comentario: La industria experimenta un cambio fundamental: de la protección del código a la protección de procesos y personas. Mientras los proyectos no comprendan que la seguridad no es una auditoría puntual, sino un monitoreo constante y una protección en múltiples niveles, seguiremos viendo ataques cada vez más sofisticados contra la naturaleza humana.