Crypto news

En julio de 2026, el código de BonkDAO —la organización gestora del memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron extraídos del tesoro. No hubo ningún hackeo en el sentido habitual: la votación fue legítima, desde el punto de vista del código.

Analizo por qué los ataques a la gobernanza se convierten en la nueva norma, cómo el factor humano se transforma en el principal objetivo para los atacantes, y por qué el análisis con IA de contratos inteligentes antiguos se vuelve a la vez una bendición y una maldición para la ciberseguridad.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO enfrentó la toma de control de su gobernanza descentralizada. Aproximadamente 4,43 billones de tokens BONK fueron robados del tesoro. El atacante no hackeó el código; utilizó las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad.

El esquema fue elegante y aterrador por su simplicidad. Bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que suponía recompensar a los participantes de la votación, el hacker añadió una función maliciosa que transfería los fondos del tesoro a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.

Este caso reveló vulnerabilidades críticas en el sistema de gobernanza de la DAO: la falta de un mecanismo de retardo temporal en la ejecución de decisiones, un quórum demasiado bajo para disponer de sumas colosales y la ausencia de derechos de veto de emergencia para el equipo.

No es el primer incidente de este tipo. Un año antes, se intentó algo similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5% de la oferta total de tokens, ese paquete habría sido suficiente para controlar la votación. Ese ataque se pudo repeler, pero solo después de que la propuesta fuera aceptada, mediante negociaciones.

La baja participación y la concentración de tokens no son una explotación de un error en el código, sino un problema de los mecanismos de descentralización en Web3. Ya a principios de 2026, Vitalik Buterin instó a la comunidad cripto a desarrollar formas más avanzadas de DAO, calificando el modelo dominante de gobernanza basado en tokens como improductivo y vulnerable a la toma de control.

¿La auditoría no es un indicador?

Según SlowMist, en 2025 el número de incidentes en Web3 cayó casi a la mitad, hasta aproximadamente 200 frente a los 410 del año anterior. Sin embargo, las pérdidas totales aumentaron de $2 mil millones en 2024 a $2,9 mil millones en 2025. Los expertos de Chainalysis estiman el daño aún mayor, en $3,4 mil millones, señalando que tres casos representaron el 69% de todas las pérdidas.

Es reveladora la estadística de los analistas de Kerberus: el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. La mayoría de los ataques exitosos no requirió buscar vulnerabilidades complejas de día cero; los atacantes utilizaron métodos conocidos desde hace tiempo:

• errores de reentrada (reentrancy);
• errores de control de acceso;
• manipulaciones con oráculos;
• errores lógicos en la lógica de negocio del protocolo.

Los puentes entre cadenas son especialmente vulnerables. Según datos de Phemex de abril de 2026, desde 2022 los puentes han perdido en conjunto más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar en su totalidad.

2026 demostró varios ejemplos reveladores: desde el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, hasta el ataque a IoTeX con control sobre la clave privada del validador, y el mayor exploit DeFi del año: la extracción de $292 millones del puente Kelp en LayerZero.

Prompt en lugar de auditor

Mientras los especialistas investigaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. En una simulación con el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales lograron atacar con éxito 207 de ellos, extrayendo en total $550,1 millones.

La barrera de entrada al hacking disminuye notablemente más rápido de lo que crece la calidad de la protección. Hace unos años, encontrar una vulnerabilidad explotable requería un especialista experimentado en Solidity. Ahora, para una parte significativa de los ataques típicos, la tarea puede reducirse a formular la consulta correcta.

La clave es más importante que el contrato

Ninguna auditoría de contrato inteligente habría podido prevenir los mayores robos de los últimos dos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque.

Es revelador el hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos desde la billetera fría a la caliente: en la interfaz de Safe, los firmantes vieron datos manipulados y aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol sufrió un ataque similar: los hackers obtuvieron acceso a las claves a través de una copia de seguridad en una computadora infectada de un desarrollador.

¿Qué funciona entonces?

Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías por sí solas no son suficientes. La industria está cambiando su enfoque hacia el almacenamiento y la confirmación de operaciones: billeteras MPC, abstracción de cuenta con recuperación social, autenticación con passkey y almacenes de hardware.

La protección se desplaza gradualmente de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Los proyectos implementan sistemas automatizados como Forta Network y Hypernative, que rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: el 2 de septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque contra Venus Protocol con 18 horas de antelación y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final.

La arquitectura de Web3 se diseñó con el objetivo de eliminar por completo la confianza en el ser humano, transfiriendo el control a las matemáticas. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito es impotente si un desarrollador abre un enlace de phishing, y una comunidad descentralizada duerme durante la toma de control de una DAO.

Mi conclusión: la principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en las personas en ambos extremos del cable. Mientras no reconozcamos este hecho y no empecemos a diseñar sistemas teniendo en cuenta la debilidad humana, y no a pesar de ella, cualquier innovación técnica será solo un aplazamiento temporal del próximo gran hackeo.