El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a DAO y más
En julio de 2026, el código de BonkDAO —la organización gestora de la memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados de las arcas. No hubo ningún hackeo en el sentido habitual: la votación fue legítima, pero con consecuencias catastróficas.
Este incidente es un síntoma claro de cómo los ataques a la gobernanza se están convirtiendo en la nueva norma, y el factor humano se transforma en el objetivo prioritario para los delincuentes. Al mismo tiempo, el análisis mediante IA de contratos inteligentes obsoletos se convierte tanto en una plaga para la ciberseguridad como en una llave maestra universal para los hackers.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de la gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK del tesoro. El atacante no hackeó el código, sino que explotó las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción completamente legal desde el punto de vista del código.
El esquema fue simple y elegante: disfrazado de iniciativa rutinaria llamada Bonk Improvement Proposal #76, que proponía recompensar a los participantes de la votación, el hacker añadió una función maliciosa que transfería los fondos del tesoro a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esos fondos fueron suficientes para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
El éxito del ataque reveló fallos críticos en el sistema de gobernanza de la DAO: la ausencia de un retraso temporal en la ejecución de decisiones, un quórum demasiado bajo para gestionar sumas enormes y la falta de un derecho de veto de emergencia por parte del equipo. El atacante leyó atentamente los estatutos de la organización y encontró un punto débil: no es una explotación de un error en el código, sino un problema de los mecanismos de descentralización en Web3.
No es un caso aislado. Un año antes, se intentó algo similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5%, ese paquete aseguraba el control de la votación. Ese ataque se pudo repeler, pero solo mediante negociaciones después de que la propuesta fuera aprobada.
La auditoría no es garantía de seguridad
Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código los problemas son opuestos: errores técnicos, conocidos desde hace tiempo, pero que por alguna razón no se corrigen. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. La mayoría de los ataques no requirió buscar vulnerabilidades complejas de día cero; se utilizaron métodos conocidos por la industria durante años: errores de reentrada, errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo.
Los puentes entre cadenas (cross-chain) son especialmente vulnerables. Desde 2022, han perdido colectivamente más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar por completo para los especialistas.
La IA, un nuevo adversario
Mientras los especialistas investigaban patrones repetitivos de vulnerabilidades, apareció un adversario para el cual ese análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. En una simulación con el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales lograron atacar con éxito 207 de ellos, extrayendo un total de $550,1 millones. La barrera de entrada al hacking está disminuyendo notablemente más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Ninguna auditoría de contratos inteligentes habría podido prevenir los mayores robos de los últimos dos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque. Es revelador el hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos desde la billetera fría a la caliente: en la interfaz de Safe, los firmantes vieron datos manipulados y aprobaron una transacción aparentemente correcta que, en realidad, transfería el control de la billetera a los ciberdelincuentes.
En junio de 2026, Humanity Protocol sufrió un ataque similar: los hackers obtuvieron acceso a las claves a través de una copia de seguridad almacenada en una computadora infectada de un desarrollador. Las pérdidas ascendieron a aproximadamente $31 millones.
¿Qué funciona entonces?
Cuando no se hackea el código, sino el proceso de toma de decisiones, las auditorías por sí solas no son suficientes. La industria está cambiando su enfoque hacia el almacenamiento y la confirmación de operaciones: billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y billeteras de hardware. La protección se está desplazando gradualmente de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool incluso antes de que una transacción maliciosa se incluya en un bloque.
La arquitectura de Web3 se diseñó originalmente con el objetivo de eliminar por completo la confianza en el ser humano, transfiriendo el control a las matemáticas. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito resulta inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO.
Mi opinión: Estamos presenciando un cambio fundamental en el panorama de amenazas. La industria, obsesionada con perfeccionar el código, ha pasado por alto el elemento más poco fiable del sistema: el ser humano. Mientras las DAO no implementen mecanismos de retraso temporal y veto de emergencia, y las empresas no trasladen a sus empleados a billeteras de hardware, seguiremos pagando por este error con miles de millones.