El factor humano y los ataques de IA: por qué el código ya no garantiza la seguridad en Web3
Julio de 2026 se convirtió en un hito para la industria de las finanzas descentralizadas. El código de gobernanza de BonkDAO —la organización detrás del memecoin en Solana— funcionó perfectamente, sin un solo error. Sin embargo, esto no impidió que los atacantes sacaran alrededor de $20 millones de la tesorería. No hubo un hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en pleno cumplimiento de las reglas del protocolo.
Este incidente no es una anomalía, sino el resultado lógico de la evolución de las amenazas. Observamos un cambio fundamental: los hackers ya no hackean el código, hackean los procesos y a las personas. Los ataques a la gobernanza se están convirtiendo en la corriente principal, y el factor humano es el principal vector para los atacantes. Mientras tanto, en el horizonte ya se vislumbra una nueva amenaza: la IA, capaz de analizar vulnerabilidades en contratos antiguos más rápido que cualquier equipo de auditores.
Ataque a la descentralización
El esquema del ataque a BonkDAO asusta por su simplicidad y efectividad. Bajo la apariencia de la propuesta rutinaria BIP #76 sobre recompensas para participantes, el hacker insertó una función maliciosa que permitía transferir fondos a su dirección. Para alcanzar el quórum solo se necesitaron $4,4 millones: esos fondos fueron suficientes para comprar el 1% de la emisión de BONK y controlar casi el 100% de los votos con una participación extremadamente baja. Seis días después, la propuesta se ejecutó automáticamente.
La raíz del problema está en la propia arquitectura de la DAO. La falta de un retraso temporal en la ejecución, el bajo umbral de quórum y la ausencia de derecho a veto por parte del equipo convirtieron la gobernanza en un "agujero" de seguridad. Esto no es la explotación de un error en el código, sino una deficiencia sistémica de los mecanismos de descentralización. Un año antes, se intentó algo similar contra Compound, pero se logró repeler. A principios de 2026, Vitalik Buterin ya criticaba las DAO orientadas a tokens, llamándolas "débiles" y "vulnerables a la captura". La realidad, lamentablemente, confirma sus palabras.
La auditoría no es un indicador
Mientras unos buscan agujeros en la gobernanza, otros sufren por errores técnicos que, al parecer, todos conocen desde hace tiempo. Según datos de analistas, el 90% de los contratos inteligentes hackeados en 2025 pasaron exitosamente una auditoría. Los atacantes no reinventan la rueda, sino que utilizan errores clásicos: reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, lo que representa alrededor del 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una enorme superficie de ataque. Los casos de 2026 son reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato de cinco años, el ataque al validador del puente IoTeX con la extracción de $4,4 millones y, por supuesto, el mayor exploit del año: el ataque a Kelp, donde se extrajeron $292 millones en rsETH del puente LayerZero.
Un prompt en lugar de un auditor
La nueva y quizás más alarmante tendencia es el uso de IA para encontrar vulnerabilidades. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados. Las redes neuronales "hackearon" exitosamente 207 de ellos, extrayendo en simulación $550,1 millones. Ya ahora Chainalysis registra múltiples intentos sincronizados de hackeo de decenas de contratos, lo que indica un barrido automatizado de vulnerabilidades. El umbral de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Sin embargo, ninguna auditoría habría salvado de los mayores robos de los últimos años. El compromiso de claves privadas es la causa del 40% de todos los fondos robados. El caso de Bybit con la pérdida de $1,46 mil millones en ETH es el ejemplo más claro. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción "correcta", entregando el control de la billetera. Un destino similar sufrió Humanity Protocol, donde las claves fueron robadas a través de una computadora infectada de un desarrollador. Ni las billeteras MPC, ni la recuperación social, ni la autenticación con passkeys habrían estado de más en estos escenarios.
La industria avanza hacia un monitoreo dinámico de amenazas en tiempo real. Sistemas como Forta Network e Hypernative ya han demostrado su efectividad, previniendo un ataque a Venus Protocol en septiembre de 2025. Pero la conclusión principal sigue siendo la misma: un código perfectamente escrito es impotente si una persona hace clic en un enlace de phishing o duerme durante la captura de una DAO. Quizás la vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi opinión: estamos al borde de una era donde la "seguridad a través del código" finalmente cede el paso a la "seguridad a través de los procesos". Los proyectos que no revisen sus modelos de gobernanza ni implementen sistemas preventivos de monitoreo tendrán que pagar muy caro esta lección. El hacking con IA no es el futuro, ya es el presente, e ignorarlo es firmar su propia sentencia.