El factor humano: la principal vulnerabilidad de la economía blockchain que no se puede corregir con código.
Julio de 2026 se convirtió en un hito para la industria de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobernanza del memecoin en Solana, funcionó perfectamente desde el punto de vista técnico, sin embargo, aproximadamente $20 millones se evaporaron del tesoro de la organización. No hubo ningún hackeo en el sentido clásico: la votación fue legítima, pero los resultados fueron catastróficos. Esta es una señal clara: los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma, y el factor humano se está convirtiendo en un objetivo prioritario para los atacantes.
Ataque a la descentralización: cómo funciona
El 6 de julio de 2026, BonkDAO sufrió la toma de control de su propio sistema de gobernanza. El atacante extrajo alrededor de 4,43 billones de tokens BONK, utilizando no errores en el código, sino debilidades fundamentales de la arquitectura de la DAO y la apatía de la comunidad. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía una recompensa para los participantes de la votación, el hacker introdujo una función maliciosa para transferir fondos a su cuenta.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. El sistema no tenía mecanismo de retardo temporal, el umbral de quórum era bajo y la falta de derecho a veto del equipo jugó a favor del atacante.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 tokens COMP (alrededor de $24,1 millones) a través de una propuesta maliciosa. Con una participación estándar del 4-5%, ese paquete habría sido suficiente para controlar la votación. Ese ataque solo pudo repelerse después de que se aprobara la propuesta, mediante negociaciones.
La baja participación y la concentración de tokens no son una explotación de un bug, sino un problema sistémico de los mecanismos de descentralización en Web3. El cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 instó a la comunidad a desarrollar formas más avanzadas de DAO, calificando el modelo de gobernanza dominante basado en tokens como "improductivo y débil", vulnerable a la toma de control.
La auditoría no es una panacea
Mientras la gobernanza de las DAO sufre por los agujeros "humanos", la situación con el código es paradójica. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron con éxito la auditoría. La mayoría de los ataques no requirieron exploits complejos de día cero: se utilizaron métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas (cross-chain) son especialmente vulnerables. Desde 2022, han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una enorme superficie de ataque que es físicamente difícil de evaluar en su totalidad. Ejemplos destacados de 2026: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, el ataque al puente de IoTeX mediante el control de la clave privada de un validador ($4,4 millones y 111 millones de tokens acuñados) y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp a través de un único validador de mensajes entre cadenas.
La IA como nueva amenaza
Mientras los especialistas analizaban patrones repetitivos, apareció un adversario para el cual ese análisis es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante una simulación en el benchmark SCONE-bench (405 contratos realmente hackeados), las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. La barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección. Hace poco, encontrar una vulnerabilidad requería un desarrollador experimentado de Solidity; ahora, solo un prompt correcto.
La clave importa más que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. El hackeo de Bybit ($1,46 mil millones en ETH) es el ejemplo más claro: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol perdió $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
La industria está pasando de verificaciones puntuales a un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean la actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: en septiembre de 2025, el monitoreo de Hexagate detuvo un ataque a Venus Protocol 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en las personas, transfiriendo el control a las matemáticas. Las estadísticas demuestran el efecto contrario. Un código perfectamente escrito es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable todavía hay personas.
Mi comentario: La industria está experimentando un cambio de paradigma fundamental: pasamos de una carrera armamentista en el código a una carrera en procesos e infraestructura. Los proyectos que no invierten en mecanismos en tiempo real y no revisan sus modelos de gobernanza corren el riesgo de convertirse en las próximas víctimas. La pregunta no es si habrá un ataque, sino con qué rapidez podrás reaccionar ante él.