Gestión, auditoría e IA: por qué la principal vulnerabilidad de la industria cripto es el ser humano
Julio de 2026 se convirtió en un hito para todo el ecosistema de Solana. El código de BonkDAO, la organización gestora del memecoin homónimo, funcionó sin un solo fallo, pero unos $20 millones se evaporaron del tesoro. No hubo hackeo en el sentido clásico: la votación fue legítima y la transacción se ejecutó en pleno cumplimiento de las reglas del protocolo. Esta es una señal clara de que los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma, y el factor humano, en el principal objetivo de los delincuentes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de la gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no utilizó exploits complejos: encontró debilidades fundamentales en la arquitectura de la DAO y se aprovechó de la pasividad de la comunidad. Bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que suponía una recompensa para los participantes, el hacker añadió una función maliciosa que transfería los fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Los errores críticos del sistema —la falta de un retraso temporal en la ejecución, el bajo umbral de quórum y la ausencia de derecho a veto por parte del equipo— hicieron que el ataque fuera inevitable.
No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. Los atacantes retiraron 499 000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. A diferencia de Bonk, el ataque se pudo repeler, pero solo después de tomar una decisión y mediante negociaciones. La baja participación y la concentración de tokens no son un error de código, sino un problema sistémico de la descentralización en Web3. No es de extrañar que Vitalik Buterin, ya a principios de 2026, instara a la comunidad a revisar el modelo de gobernanza dominante, calificándolo de débil y vulnerable a la captura.
La auditoría no es una garantía
Mientras las DAO sufren por las brechas de gobernanza, el código demuestra el problema opuesto. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron con éxito la auditoría. Los atacantes no buscaban vulnerabilidades de día cero: utilizaban métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas siguen siendo los más vulnerables. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una enorme superficie de ataque que es imposible evaluar en su totalidad. 2026 mostró varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de enteros, el ataque al puente de IoTeX con control sobre la clave privada del validador y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp a través de un puente en LayerZero.
Prompt en lugar de auditor
Una nueva amenaza proviene de la inteligencia artificial. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante la simulación en el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Ya ahora, Chainalysis registra múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades. La barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un claro ejemplo: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. De manera similar, en junio de 2026, Humanity Protocol se vio afectado, perdiendo $31 millones debido a una copia de seguridad de claves en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria está desplazando el enfoque de las auditorías puntuales hacia el monitoreo dinámico. Se están implementando billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenes de hardware. Sistemas automatizados como Forta Network y Hypernative rastrean la actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus demostró la efectividad de este enfoque: el sistema Hexagate detectó la preparación de un ataque con 18 horas de antelación y detuvo automáticamente el protocolo 20 minutos antes de la transacción final.
La arquitectura de Web3 se creó para eliminar la confianza en el ser humano, pero las estadísticas dicen lo contrario. Un código perfecto es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no son los algoritmos, sino las personas en ambos extremos del cable.
Mi comentario: La industria está atravesando una dolorosa transición desde la fe ingenua en el "código como ley" hacia la comprensión de que la seguridad es un proceso integral que incluye gobernanza, monitoreo y factor humano. Los proyectos que no se adapten a este nuevo realismo están condenados a repetir el destino de BonkDAO y Bybit.