La principal vulnerabilidad de la cadena de bloques: por qué el código es impecable y el dinero desaparece
En julio de 2026, el código de BonkDAO —la organización gestora de la memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados de la tesorería. Nadie hackeó nada en el sentido habitual de la palabra: la votación fue real.
En este material analizo cómo los ataques a la gobernanza se convierten en la norma, por qué el factor humano sigue siendo la opción número uno para los hackers, y cómo el análisis de contratos inteligentes antiguos mediante IA se convierte en una plaga para la ciberseguridad y, al mismo tiempo, en una llave maestra para los atacantes.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza descentralizada, que resultó en el robo de aproximadamente 4,43 billones de tokens BONK de la tesorería. El atacante aprovechó debilidades fundamentales en la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción legal desde el punto de vista del código.
El esquema del ataque fue el siguiente: bajo la apariencia de una iniciativa rutinaria, la Bonk Improvement Proposal #76, que supuestamente recompensaría a los participantes de la votación, el hacker añadió una función maliciosa que contemplaba la transferencia de fondos de la tesorería a su dirección.
Para que la votación tuviera éxito, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el uno por ciento de toda la emisión de BONK necesario para alcanzar el quórum. Dada la participación extremadamente baja, estos fondos fueron suficientes para controlar casi el 100% de los votos. Tras seis días, la propuesta se ejecutó automáticamente.
El ataque exitoso reveló vulnerabilidades críticas en el sistema de gobernanza de la DAO. No existía un mecanismo de retardo temporal en la ejecución de decisiones que diera a los desarrolladores tiempo para cancelar una transacción anómala. Además, el quórum para disponer de sumas colosales era demasiado bajo, y el equipo no tenía derechos de veto de emergencia.
El atacante leyó los estatutos de la organización con la misma atención que cualquier participante de buena fe, y encontró en ellos un punto débil.
Este no es el primer caso similar. Un año antes, se intentó algo parecido contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499 000 tokens COMP (alrededor de $24,1 millones al tipo de cambio del momento del incidente) de la tesorería del protocolo mediante una propuesta de mejora maliciosa. Con una participación habitual en la organización del 4–5% de la oferta total de tokens, ese paquete fue suficiente para obtener el control de la votación. A diferencia del caso de Bonk, ese ataque pudo ser detectado y repelido, aunque ya después de la aprobación de la propuesta, mediante negociaciones.
La baja participación en las votaciones y la concentración de tokens en unas pocas manos no es una explotación de un error en el código, sino un problema de los mecanismos de descentralización en Web3.
A principios de 2026, el cofundador de Ethereum, Vitalik Buterin, instó a la comunidad cripto a desarrollar formas de DAO más avanzadas y eficientes. El programador calificó el modelo dominante de gobernanza basado en tokens como improductivo y débil. Según él, el diseño actual funciona, pero es ineficiente, vulnerable a la captura y «fracasa por completo en la tarea de mitigar las deficiencias de la política humana». Buterin vio en esto la razón del escepticismo de la comunidad hacia el concepto de este tipo de organizaciones.
¿La auditoría no es un indicador?
En 2025, el número de incidentes en Web3 cayó casi a la mitad, hasta aproximadamente 200 frente a los 410 del año anterior. Sin embargo, las pérdidas totales aumentaron de $2 mil millones en 2024 a $2,9 mil millones en 2025. Según los expertos de Chainalysis, el daño por hackeos fue mayor: $3,4 mil millones. Calcularon que tres casos representaron el 69% de todas las pérdidas, y por primera vez en la historia la brecha entre el ataque más grande y el promedio fue de 1000 veces.
Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código los problemas son opuestos: los bugs son técnicos y conocidos desde hace tiempo, simplemente por alguna razón no se advirtió de ellos con antelación.
Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. La mayoría de los ataques exitosos no requirió buscar vulnerabilidades complejas de día cero: los atacantes utilizaron métodos conocidos por la industria desde hace años:
- errores de reentrada (reentrancy): ejecutar otra vez una función antes de que finalice la llamada anterior;
- errores de control de acceso: cuando una función crítica para la seguridad es accesible a un círculo más amplio de personas del que debería;
- manipulación de oráculos: distorsión de los datos sobre el precio de un activo en los que se basa un contrato inteligente;
- errores lógicos en el propio sistema de negocio del protocolo que los escáneres no detectan.
Los protocolos de puentes cross-chain son los que más necesitan revisiones de código de calidad. Desde 2022, los puentes han perdido en conjunto más de $2,8 mil millones, alrededor del 40% de todos los fondos robados en Web3. El motivo es que la complejidad de los mensajes cross-chain crea una amplia superficie de ataque que es físicamente difícil de evaluar por completo para los especialistas: una gran cantidad de componentes independientes debe funcionar en paralelo, y basta con fallar en uno de ellos.
El año 2026 demostró varios ejemplos reveladores con diferentes vectores de ataque:
- El 8 de enero, el protocolo de verificación Truebit en Ethereum perdió $26,4 millones debido a un desbordamiento de tipo entero en el código. El ataque se realizó contra un contrato inteligente obsoleto de compra/emisión de tokens TRU, desplegado hacía unos cinco años. Un error lógico clásico que podría haberse detectado si se hubiera realizado una auditoría nuevamente después de la actualización.
- El 21 de febrero, los atacantes obtuvieron el control de la clave privada del validador del puente IoTeX, actualizaron el contrato a una versión maliciosa evitando la verificación de firmas y retiraron $4,4 millones, acuñando además más de 111 millones de tokens CIOTX y CCS.
- El 18 de abril, el mayor exploit DeFi del año fue el ataque al protocolo de restaking líquido Kelp: se retiraron alrededor de 116 500 rsETH por valor de $292 millones del puente en LayerZero. El incidente fue posible debido a una configuración con un único validador de mensajes cross-chain y un ataque a la infraestructura RPC de LayerZero.
Las insignias de organizaciones de ciberseguridad como CertiK y Code4rena no pudieron proteger los activos de una industria aún joven.
El prompt en lugar del auditor
Mientras los especialistas investigaban patrones repetidos de vulnerabilidades, apareció un adversario para el cual ese análisis es una tarea rutinaria, resuelta a una velocidad inaccesible para cualquier equipo de expertos humanos.
El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes y descubrió nuevos exploits por un total de $4,6 millones. Para la prueba, los programadores crearon el benchmark SCONE-bench, compuesto por 405 contratos inteligentes realmente hackeados entre 2020 y 2025. Durante la simulación, las redes neuronales lograron atacar con éxito 207 de ellos, extrayendo en total $550,1 millones. Una parte significativa de ellos podría haber estado disponible para los LLM a partir de los datos de entrenamiento.
Para reducir el riesgo de «reproducción por memoria», Anthropic probó por separado 34 contratos inteligentes hackeados después de marzo de 2025.
En la práctica, esto ya está ocurriendo. En junio, los especialistas de Chainalysis informaron que habían detectado actividad anómala en las redes: múltiples intentos de hackeo casi idénticos contra diferentes contratos al mismo tiempo, lo que indica una búsqueda automatizada de vulnerabilidades, y no el trabajo manual de un hacker individual que físicamente no podría atacar sincrónicamente decenas de objetivos.
La barrera de entrada al hacking está bajando notablemente más rápido de lo que crece la calidad de la protección. Hace unos años, encontrar una vulnerabilidad explotable en un contrato ajeno requería un especialista experimentado en Solidity, capaz de leer el código manualmente y entender su lógica. Según los resultados de SCONE-bench, para una parte significativa de los ataques típicos, esta tarea ahora puede reducirse a formular la consulta correcta.
La clave es más importante que el contrato
Ninguna auditoría de contrato inteligente habría podido prevenir los mayores robos de los últimos dos años.
El robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque individual, incluidas las vulnerabilidades de contratos inteligentes. Desde 2020, los ataques a la infraestructura cripto se dirigen cada vez más no directamente a la blockchain, sino a los servicios y la infraestructura que la rodea: exchanges, wallets e interfaces a través de las cuales las personas gestionan sus activos.
El hackeo de Bybit es revelador en este sentido. El 21 de febrero de 2025, el exchange perdió $1,46 mil millones en ETH, convirtiéndose en el mayor robo único en la historia de la industria cripto. Los atacantes intervinieron en el proceso de una transferencia normal de fondos desde una wallet fría a una caliente: en la interfaz de Safe, los firmantes vieron datos manipulados y aprobaron una transacción aparentemente correcta que, en realidad, transfería el control de la wallet a los ciberdelincuentes.
En junio de 2026, Humanity Protocol sufrió un ataque similar: los hackers obtuvieron acceso a las claves a través de una copia de seguridad almacenada en una computadora de un desarrollador infectada con malware. Las pérdidas ascendieron a aproximadamente $31 millones.
¿Qué funciona entonces?
Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías de contratos inteligentes por sí solas ya no son suficientes. Por eso, la industria está cambiando tanto las herramientas como el propio enfoque del almacenamiento y la confirmación de operaciones:
- Wallets MPC: almacenes de criptomonedas que utilizan tecnología de computación multiparte. En lugar de una única clave secreta completa, crean varias partes independientes que se almacenan por separado. Esto elimina un punto único de fallo y simplifica la recuperación del acceso;
- abstracción de cuentas con mecanismo de recuperación social del acceso: la pérdida o el robo de una clave deja de significar la pérdida irreversible de los fondos;
- autenticación con passkeys: método de acceso a cuentas sin contraseña que utiliza pares de claves criptográficas y verificación de identidad mediante biometría (huella dactilar o escaneo facial) o el PIN del dispositivo. Medida contra el phishing;
- uso de wallets cripto de hardware y frías donde antes se dependía de soluciones de software en las máquinas de trabajo de los empleados.
Ninguno de estos mecanismos habría estado de más en los casos de Bybit y Humanity Protocol: ambos incidentes se basaron precisamente en la compromisión del software y los dispositivos de trabajo.
La protección se está desplazando gradualmente de las revisiones puntuales al monitoreo dinámico de amenazas en tiempo real. Los proyectos están implementando sistemas automatizados como Forta Network y Hypernative, que rastrean actividad anómala en el mempool incluso antes de que una transacción maliciosa se incluya en un bloque.
El modelo de respuesta preventiva ya ha demostrado su eficacia en la práctica. El 2 de septiembre de 2025, cuando los atacantes intentaron atacar el protocolo de préstamos Venus, el sistema de monitoreo Hexagate de Chainalysis detectó el despliegue de un contrato inteligente sospechoso y actividad anómala 18 horas antes de la fase principal del ataque. Veinte minutos antes de la transacción final que debía vaciar los pools, el protocolo se pausó automáticamente. Los fondos permanecieron seguros y los hackers desperdiciaron recursos en el pago del gas.
La arquitectura de Web3 se diseñó originalmente con un objetivo radical: eliminar por completo la confianza en el ser humano, transfiriendo el control a las matemáticas inmutables. Las estadísticas de hackeos de los últimos años demuestran el efecto contrario. Un código perfectamente escrito y verificado dos veces resulta absolutamente impotente si un desarrollador abre un enlace de phishing, y una comunidad descentralizada duerme durante la toma de control de una DAO.
Mi conclusión: Estamos presenciando un cambio de paradigma fundamental. La industria, construida sobre el principio de «no confíes, verifica», se enfrenta a la ironía del destino: el eslabón más débil es el ser humano que toma decisiones. Mientras las DAO no implementen mecanismos de protección contra la apatía de la mayoría, y las empresas no trasladen la gestión de claves a soluciones de hardware con autenticación multifactor, cualquier innovación técnica en seguridad será solo un aplazamiento de lo inevitable. Quizás, la principal vulnerabilidad sistémica de la economía blockchain no reside en absoluto en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.