El principal bug del blockchain es el humano: cómo los ataques a DAO y las claves privadas devalúan el código
Julio de 2026. El código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente, sin un solo error. Y sin embargo, unos $20 millones se evaporaron del tesoro. No hubo hackeo en el sentido clásico: la votación fue legítima, la transacción se ejecutó según las reglas del protocolo. Esto no es un exploit de código, es un exploit de la naturaleza humana.
Ataque a la descentralización: legalidad formal
El 6 de julio de 2026, BonkDAO enfrentó una toma de control de su gobernanza. El atacante extrajo alrededor de 4,43 billones de tokens BONK, aprovechando fallas fundamentales en la arquitectura de la DAO. Bajo la apariencia de una propuesta rutinaria, la Bonk Improvement Proposal #76, que supuestamente otorgaba recompensas a los participantes, se introdujo una función maliciosa para transferir fondos a la dirección del atacante.
Para alcanzar el quórum, el hacker gastó unos $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía un time-lock que permitiera cancelar la transacción anómala, el quórum era ridículamente bajo y el equipo no tenía derecho a veto.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación del 4-5%, el paquete de tokens aseguró el control de la votación. Ese ataque solo pudo repelerse mediante negociaciones después de que se tomara la decisión.
La baja participación y la concentración de tokens no son un bug, sino un problema sistémico de la tokenómica de gobernanza en Web3. Vitalik Buterin, ya a principios de 2026, calificó con razón el modelo dominante de DAO como "improductivo y vulnerable a la captura", pidiendo una reestructuración completa del concepto.
La auditoría como ficción: el 90% de los contratos hackeados fueron auditados
Mientras en las DAO se buscan agujeros sin una sola línea de exploit, la situación con el código es paradójica. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron con éxito la auditoría. Los atacantes no buscaban vulnerabilidades de día cero; usaban métodos conocidos desde hace años: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, alrededor del 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una enorme superficie de ataque que es físicamente difícil de evaluar en su totalidad. Ejemplos destacados de 2026:
- Truebit (8 de enero): pérdida de $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, desplegado hace cinco años. Un error clásico que se habría encontrado en una reauditoría tras la actualización.
- IoTeX (21 de febrero): el control de la clave privada de un validador del puente permitió actualizar el contrato a una versión maliciosa y extraer $4,4 millones, acuñando más de 111 millones de tokens.
- Kelp (18 de abril): el mayor exploit DeFi del año: $292 millones del puente en LayerZero. La causa: un único validador de mensajes entre cadenas y un ataque a la infraestructura RPC.
Las insignias de CertiK y Code4rena no protegieron los activos. La industria necesita nuevos mecanismos de defensa.
La IA como ganzúa: un prompt en lugar de un auditor
Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el que el análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. En el benchmark SCONE-bench, de 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207, extrayendo $550,1 millones simulados. Incluso en los 34 contratos hackeados después de marzo de 2025, la IA mostró una alta eficacia.
En la práctica, esto ya está ocurriendo. Chainalysis registró en junio múltiples intentos de hackeo casi idénticos y simultáneos en diferentes contratos: una fuerza bruta automatizada de vulnerabilidades inaccesible para un humano. El umbral de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis de 2024, el robo de claves privadas es la causa de alrededor del 40% de todos los fondos robados. El hackeo de Bybit ($1,46 mil millones en ETH) es el ejemplo más claro: los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
La industria se está moviendo hacia la protección dinámica: carteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas de monitoreo como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El ejemplo de Venus Protocol demostró que una pausa automática 20 minutos antes del ataque final salvó los fondos.
Mi comentario: Estamos construyendo una economía basada en matemáticas, pero olvidamos que en ambos extremos del cable hay personas. Mientras la industria no resuelva el problema del factor humano —ya sea la pasividad de las DAO o un enlace de phishing—, cualquier auditoría o verificación formal seguirá siendo solo una solución cosmética. El código perfecto es impotente contra una acción perfectamente estúpida.