El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a DAO y contratos inteligentes
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, la organización gobernante del memecoin en Solana, funcionó perfectamente, pero aproximadamente $20 millones desaparecieron del tesoro. No hubo ningún hackeo en el sentido clásico: la votación fue legítima. Este es un claro ejemplo de cómo los ataques a los mecanismos de gobernanza se convierten en la nueva norma, y el factor humano se transforma en el principal objetivo de los atacantes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza, lo que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante, aprovechando las debilidades de la arquitectura de la DAO y la pasividad de la comunidad, ejecutó una transacción legal desde el punto de vista del código. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía recompensar a los participantes de la votación, el hacker insertó una función maliciosa para transferir fondos a su dirección.
Para alcanzar el quórum, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Vulnerabilidades críticas del sistema: ausencia de un retraso temporal en la ejecución de decisiones, un quórum demasiado bajo y falta de derecho de veto de emergencia por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, cuando los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se pudo repeler, pero solo después de aceptar la propuesta, mediante negociaciones. El problema de la baja participación y la concentración de tokens no es un bug en el código, sino un defecto fundamental de los mecanismos de descentralización en Web3.
La auditoría no es garantía de seguridad
Las estadísticas de 2025 muestran una dinámica preocupante: el número de incidentes en Web3 cayó casi a la mitad (hasta ~200), pero las pérdidas totales aumentaron de $2 mil millones a $2,9 mil millones. Según Chainalysis, el daño alcanzó los $3,4 mil millones, y los tres ataques más grandes representaron el 69% de todas las pérdidas.
Los analistas de Kerberus revelaron un hecho impactante: el 90% de los smart contracts hackeados en 2025 habían pasado auditorías exitosamente. Los atacantes no buscaban vulnerabilidades complejas de día cero, sino que utilizaban métodos conocidos desde hace tiempo: errores de reentrancy, errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo.
Los puentes cross-chain generan especial preocupación. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes cross-chain crea una amplia superficie de ataque que es difícil de evaluar en su totalidad.
2026 demostró la diversidad de vectores de ataque: desde el desbordamiento de tipo entero en Truebit ($26,4 millones) hasta el control de la clave privada del validador del puente IoTeX ($4,4 millones) y el mayor exploit DeFi del año contra el protocolo Kelp ($292 millones). Este último fue posible debido a una configuración con un único validador y un ataque a la infraestructura RPC de LayerZero.
IA: la nueva arma de los hackers
Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en smart contracts. Durante una simulación en el benchmark SCONE-bench (405 contratos realmente hackeados), las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Esto confirma que la barrera de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados. Es revelador el hackeo de Bybit en febrero de 2025 ($1,46 mil millones), cuando los atacantes sustituyeron datos en la interfaz de Safe, y el incidente con Humanity Protocol en junio de 2026 ($31 millones), donde las claves fueron robadas a través de una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria está cambiando su enfoque hacia la seguridad: se implementan wallets MPC, que eliminan el punto único de fallo, abstracción de cuenta con recuperación social, autenticación con passkeys y wallets de hardware. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado eficacia: en septiembre de 2025, el sistema Hexagate previno un ataque a Venus Protocol, pausando automáticamente el protocolo 20 minutos antes de la transacción final.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en el ser humano, pero las estadísticas demuestran lo contrario. Un código perfectamente escrito es impotente si un desarrollador abre un enlace de phishing y la comunidad duerme durante una toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria debe reconocer que la perfección tecnológica no resuelve el problema del error humano. Necesitamos sistemas híbridos que combinen la seguridad criptográfica con mecanismos de control social y análisis de comportamiento. Solo ese enfoque podrá enfrentar a la nueva generación de amenazas, donde la IA se convierte en una ganzúa universal.