Crypto news

Julio de 2026 no lo recordaré por la volatilidad del mercado, sino por un caso ejemplar en BonkDAO. El código de la organización gestora de la memecoin en Solana funcionó impecablemente, pero eso no impidió que los atacantes sacaran unos $20 millones de la tesorería. No hubo hackeos habituales: la votación se llevó a cabo de forma legítima, siguiendo todas las reglas.

Este incidente es una clara ilustración de cómo los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma. El factor humano se ha convertido en el principal objetivo de los hackers, y el uso de IA para analizar contratos inteligentes antiguos se ha convertido en una amenaza seria que, a su vez, es también una herramienta para los atacantes.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza. El atacante robó alrededor de 4,43 billones de tokens BONK, aprovechando debilidades fundamentales en la arquitectura de la DAO y la apatía de la comunidad. El esquema fue elegante: bajo la apariencia de una propuesta rutinaria, la Propuesta de Mejora de Bonk #76, que prometía recompensas a los participantes, se introdujo una función maliciosa para transferir fondos.

Para alcanzar el quórum, el hacker gastó unos $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. Con una participación baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía ni retraso temporal ni veto de emergencia, y el quórum para disponer de sumas enormes era ridículamente bajo. El atacante simplemente leyó atentamente los estatutos de la organización.

No es un caso aislado. Un año antes, se intentó algo similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499 000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5%, ese paquete habría sido suficiente para el control, pero el ataque se pudo repeler después de su aprobación, mediante negociaciones. El problema no está en el código, sino en los propios mecanismos de descentralización de Web3.

La auditoría no es una panacea

Mientras en las DAO se buscan fallos sin una sola línea de exploit, la situación con el código es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirieron vulnerabilidades complejas de día cero; se usaron métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio.

Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, alrededor del 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una enorme superficie de ataque que es físicamente difícil de evaluar en su totalidad.

Ejemplos destacados de 2026:

1. 8 de enero: Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto desplegado hace cinco años.
2. 21 de febrero: los hackers obtuvieron el control de la clave del validador del puente IoTeX, actualizaron el contrato a una versión maliciosa y retiraron $4,4 millones, acuñando 111 millones de tokens.
3. 18 de abril: el mayor exploit DeFi del año: del puente Kelp en LayerZero se extrajeron alrededor de 116 500 rsETH por $292 millones debido a un único validador y un ataque a la infraestructura RPC.

Un prompt en lugar de un auditor

Los nuevos vectores de ataque requieren una reestructuración de la defensa. Pero los defensores tienen un adversario para el que el análisis de vulnerabilidades es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. En las pruebas con el benchmark SCONE-bench, de 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207, extrayendo $550,1 millones. En la práctica, esto ya está ocurriendo: los especialistas de Chainalysis registran múltiples intentos simultáneos de hackeo de diferentes contratos, lo que indica un barrido automatizado.

La clave importa más que el contrato

Ninguna auditoría habría podido prevenir los mayores robos. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de alrededor del 40% de los fondos robados. Es revelador el hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.

¿Qué funciona entonces?

La industria está pasando de verificaciones puntuales a un monitoreo dinámico. Se están implementando billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas automatizados como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: el 2 de septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque a Venus con 18 horas de antelación y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final.

La arquitectura de Web3 se creó para eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Pero las estadísticas demuestran lo contrario: el código perfecto es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante una toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas. Y hasta que no reconozcamos este hecho, cualquier innovación técnica será solo un parche temporal.