El factor humano — la principal vulnerabilidad de la industria cripto: análisis de los ataques a las DAO y más allá
Julio de 2026 será recordado por la comunidad cripto no solo por el crecimiento del mercado, sino también por un incidente significativo que destapó problemas fundamentales en la gobernanza descentralizada. Se trata de BonkDAO, donde, con un funcionamiento impecable del código, se extrajeron alrededor de $20 millones del tesoro. Esto no es un hackeo en el sentido clásico: la votación fue absolutamente legítima desde un punto de vista técnico.
Este caso no es un error aislado, sino un síntoma de una crisis sistémica. Observamos cómo los ataques a los mecanismos de gobernanza se convierten en la «nueva norma», y el factor humano se transforma en el principal objetivo para los delincuentes. Al mismo tiempo, entra en escena un nuevo jugador: la inteligencia artificial, que cambia radicalmente las reglas del juego en la ciberseguridad.
Ataque a la descentralización: anatomía de la captura
El 6 de julio de 2026, BonkDAO sufrió una captura de gobernanza. El atacante, aprovechando las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad, robó alrededor de 4,43 billones de tokens BONK. El esquema fue dolorosamente simple y efectivo. Disfrazado de una iniciativa rutinaria para recompensar a los participantes de la votación (BIP #76), se añadió al código una condición maliciosa para transferir fondos.
Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía ni un mecanismo de retardo temporal ni un derecho de veto de emergencia, lo que hizo que el ataque fuera irreversible.
Este no es el primer caso. Un año antes, se intentó un ataque similar contra Compound, donde, con una participación del 4-5%, los atacantes intentaron retirar $24,1 millones. Ese ataque se pudo repeler, pero solo a posteriori y mediante negociaciones. El problema es evidente: la baja participación y la concentración de tokens no son una explotación del código, sino una brecha en los propios mecanismos de descentralización de Web3. El cofundador de Ethereum, Vitalik Buterin, ya había advertido sobre esto, instando a crear formas más avanzadas de DAO.
La auditoría no es una garantía de seguridad
Mientras las DAO sufren por los agujeros de gobernanza, la situación con el código no es menos alarmante. Según datos de analistas, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques utilizaron métodos conocidos desde hace años: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos. Especialmente vulnerables son los puentes entre cadenas, que desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3.
2026 mostró una diversidad de vectores de ataque: desde el desbordamiento de enteros en Truebit ($26,4 millones) y el compromiso de las claves del validador de IoTeX ($4,4 millones) hasta el mayor exploit del año: el ataque al protocolo Kelp, donde, debido a un único validador y un ataque a la infraestructura RPC, se extrajeron $292 millones. Las insignias de CertiK y Code4rena no pudieron proteger los activos.
IA: nueva amenaza y nueva herramienta
Mientras los especialistas analizaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de IA para buscar brechas. Durante la simulación, las redes neuronales atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550,1 millones. Esto significa que la barrera de entrada al hacking está cayendo rápidamente. Para ataques típicos, ahora basta con formular correctamente una solicitud a un LLM.
La clave es más importante que el contrato
Sin embargo, ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas es la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit por $1,46 mil millones es el ejemplo más claro, donde la sustitución de datos en la interfaz de Safe llevó a la aprobación de una transacción maliciosa. Una situación similar ocurrió con Humanity Protocol, donde las claves fueron robadas a través de una computadora infectada de un desarrollador.
La industria reacciona, desplazándose de verificaciones puntuales a un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus mostró la efectividad de este enfoque: el ataque se previno 20 minutos antes de la transacción final.
La arquitectura de Web3 se creó con el objetivo de eliminar la confianza en las personas. Pero las estadísticas son implacables: el código perfecto es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no son los algoritmos, sino las personas en ambos extremos del cable. Hasta que no reconozcamos este hecho, cualquier innovación tecnológica será solo un parche temporal.