Crypto news

Julio de 2026 se convirtió en un hito para comprender las amenazas reales en Web3. El código de BonkDAO, la estructura de gobernanza del memecoin en Solana, funcionó perfectamente, sin un solo error. Y sin embargo, alrededor de $20 millones salieron del tesoro de la organización. No fue un ataque hacker en el sentido clásico: la votación se llevó a cabo de manera legítima, desde el punto de vista del protocolo.

Observamos una tendencia alarmante: los ataques a los mecanismos de gobernanza se están volviendo algo cotidiano, y el principal vector de hackeo cada vez más no es el código, sino la persona. La ironía es que los contratos inteligentes antiguos se convierten en presa fácil para la IA, que ahora actúa tanto como herramienta de protección como una llave maestra universal para los delincuentes.

Captura de la descentralización: la lección de BonkDAO

El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza, resultando en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no hackeó el código; utilizó las debilidades arquitectónicas de la DAO y la apatía de la comunidad. Bajo la apariencia de una propuesta rutinaria, la Bonk Improvement Proposal #76 sobre recompensas para participantes, se insertó una función maliciosa de transferencia de fondos.

Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión. Con una baja participación, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la transacción se ejecutó automáticamente. El sistema no tenía retraso en la ejecución, el quórum era demasiado bajo y el equipo no tenía derecho a veto.

No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, donde los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se repelió, pero solo mediante negociaciones después de que se aprobara la propuesta. El problema es evidente: la baja participación y la concentración de tokens no son un error en el código, sino un defecto fundamental de los modelos de descentralización en Web3. Vitalik Buterin ya a principios de 2026 advirtió que la gobernanza orientada a tokens es vulnerable a la captura e ineficaz.

La auditoría como ficción: el 90% de los contratos hackeados fueron auditados

Mientras las DAO sufren por el "factor humano", la situación con el código es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías exitosamente. Los atacantes no buscaban vulnerabilidades complejas de día cero, sino que usaban métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.

Los puentes cross-chain son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una enorme superficie de ataque, donde basta un error en un solo componente. Ejemplos destacados de 2026: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato antiguo, el ataque al puente de IoTeX mediante el control de la clave privada de un validador, y el mayor exploit del año: el robo de $292 millones de Kelp a través de un único validador de LayerZero.

La IA ataca: un prompt en lugar de un auditor

El nuevo adversario para los especialistas en seguridad informática es la inteligencia artificial. En diciembre de 2025, Anthropic anunció que sus modelos de IA encontraron nuevos exploits por valor de $4,6 millones. En pruebas con el benchmark SCONE-bench, que incluía 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, "extrayendo" $550,1 millones. Los analistas de Chainalysis ya registran múltiples intentos sincronizados de hackeo de diferentes contratos, lo que indica una búsqueda automatizada de vulnerabilidades inaccesible para los humanos.

La clave importa más que el contrato

Sin embargo, ninguna auditoría habría salvado de los mayores robos de los últimos años. Según Chainalysis, el robo de claves privadas es la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es el ejemplo más claro: los firmantes en la interfaz de Safe aprobaron una transacción sustituida. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.

La industria reacciona, desplazando el enfoque de auditorías puntuales a un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. La efectividad de este enfoque se demostró con el incidente de Venus Protocol en septiembre de 2025, cuando una pausa automática, activada 20 minutos antes del ataque, salvó los fondos.

La arquitectura de Web3 se creó para eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Pero las estadísticas de los últimos años demuestran lo contrario: un código perfectamente escrito es impotente si el desarrollador hace clic en un enlace de phishing y la comunidad duerme durante una toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.

Mi conclusión: estamos al borde de un cambio de paradigma en seguridad. La apuesta por el "código infalible" ha fracasado. El futuro pertenece a los sistemas híbridos, donde la garantía matemática de ejecución se combina con mecanismos de recuperación social y monitoreo activo del comportamiento, no solo del estado del contrato.