El factor humano como principal exploit: por qué el código ya no es el eslabón débil de la industria cripto
Julio de 2026 será recordado como el momento en que la gobernanza descentralizada se agrietó de una manera que era imposible predecir algorítmicamente. El código de BonkDAO, la estructura de gobernanza de la memecoin en Solana, funcionó perfectamente, sin un solo error. Y aun así, el tesoro perdió alrededor de $20 millones. No hubo ningún hackeo en el sentido clásico: la votación fue legítima, las transacciones fueron verificadas por la red. Fue una toma limpia y metódica del proceso de toma de decisiones.
Ataque a la confianza: la lección de BonkDAO
El 6 de julio, un atacante explotó una debilidad fundamental en la arquitectura de la DAO y la apatía de la comunidad. Bajo la apariencia de una mejora rutinaria (BIP #76) sobre recompensas para participantes, se insertó una función maliciosa de transferencia de fondos en la propuesta. Para alcanzar el quórum, el hacker gastó alrededor de $4.4 millones, comprando el 1% de la emisión de BONK en exchanges centralizados. Con una baja participación, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
Este caso reveló un vacío crítico en los mecanismos de seguridad: la ausencia de un retraso temporal en la ejecución de decisiones, un umbral de quórum demasiado bajo para manejar sumas enormes y la falta de un derecho de veto de emergencia por parte del equipo. El atacante simplemente leyó los estatutos de la organización con más atención que nadie.
No es un incidente aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En aquella ocasión, los atacantes intentaron retirar 499,000 tokens COMP (~$24.1 millones), y solo las negociaciones rápidas después de la aprobación de la propuesta permitieron repeler el ataque. El problema es sistémico: la baja participación y la concentración de tokens no son un bug en el código, sino un bug en el propio concepto de gobernanza Web3. Las críticas de Vitalik Buterin a principios de 2026 sobre la ineficacia de las votaciones con tokens resultaron proféticas.
La auditoría como ficción: las estadísticas son implacables
Mientras las DAO sufren de "ingeniería social", los hackeos clásicos de código muestran una tendencia diferente, pero no menos preocupante. Según mis datos de informes analíticos, en 2025 el número de incidentes en Web3 se redujo a la mitad (hasta ~200), pero las pérdidas totales aumentaron a $2.9 mil millones. Además, según datos de Chainalysis, el daño podría haber alcanzado los $3.4 mil millones. La conclusión clave: el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías exitosamente. Los atacantes no buscan vulnerabilidades complejas de día cero, sino que explotan errores clásicos: reentrancy, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022, han perdido más de $2.8 mil millones, aproximadamente el 40% de todos los fondos robados en la industria. La complejidad de las comunicaciones entre redes crea una superficie de ataque que es físicamente difícil de evaluar en su totalidad. Ejemplos destacados de 2026: el hackeo de Truebit por $26.4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al validador del puente IoTeX con la extracción de $4.4 millones y, por supuesto, el mayor exploit del año: el ataque a Kelp, donde se extrajeron ~116,500 rsETH por $292 millones del puente LayerZero.
La IA como nueva amenaza y el cambio de paradigma en la protección
La industria enfrenta un nuevo desafío: la inteligencia artificial. En diciembre de 2025, Anthropic demostró que los modelos de IA son capaces de encontrar brechas en contratos inteligentes. Durante una simulación con contratos realmente hackeados (SCONE-bench), las redes neuronales atacaron con éxito 207 de 405, "extrayendo" $550.1 millones. Esto significa que la barrera de entrada al hacking está cayendo rápidamente. Ya ahora, Chainalysis registra múltiples intentos de hackeo sincronizados contra diferentes contratos, lo que indica un barrido automatizado de vulnerabilidades, no un trabajo manual de un hacker.
La clave importa más que el contrato
Sin embargo, ninguna auditoría habría salvado de los mayores robos de los últimos años. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de ~40% de todos los fondos robados. El hackeo de Bybit por $1.46 mil millones en febrero de 2025 es el ejemplo más claro. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a claves robadas de una computadora infectada de un desarrollador.
¿Qué funciona realmente?
La protección se desplaza de verificaciones puntuales a un monitoreo dinámico. La industria está implementando billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas automatizados como Forta Network o Hexagate de Chainalysis ya han demostrado su eficacia, previniendo el hackeo de Venus Protocol en septiembre de 2025, 20 minutos antes de la transacción final.
Web3 fue diseñado como un sistema que excluye la confianza en las personas. Pero las estadísticas muestran lo contrario: el código perfecto es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en las personas en ambos extremos del cable. Y hasta que este axioma no se tome en serio, cualquier innovación técnica será solo un parche temporal sobre una herida profunda.