Crypto news

En julio de 2026, el código de BonkDAO —la organización gestora del memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados del tesoro. Nadie hackeó nada en el sentido habitual de la palabra: la votación fue real.

Ataque a la descentralización

El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza descentralizada, que resultó en el robo de aproximadamente 4,43 billones de tokens BONK del tesoro. El atacante aprovechó debilidades fundamentales en la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción legal desde el punto de vista del código.

El esquema del ataque fue el siguiente: bajo la apariencia de una iniciativa rutinaria, la Bonk Improvement Proposal #76, que proponía recompensar a los participantes de la votación, el hacker añadió una función maliciosa que contemplaba la transferencia de fondos del tesoro a su dirección. Para lograr una votación exitosa, el atacante gastó alrededor de $4,4 millones en exchanges centralizados, comprando el uno por ciento de toda la emisión de BONK necesario para alcanzar el quórum. En un contexto de participación extremadamente baja, esos fondos fueron suficientes para controlar casi el 100% de los votos. Tras seis días, la propuesta se ejecutó automáticamente.

El ataque exitoso reveló vulnerabilidades críticas en el sistema de gobernanza de la DAO. No existía un mecanismo de retraso temporal en la ejecución de decisiones que diera a los desarrolladores tiempo para cancelar una transacción anómala. Además, el quórum para disponer de sumas colosales resultó ser demasiado bajo, y el equipo no tenía derechos de veto de emergencia.

Este no es el primer caso de este tipo. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (alrededor de $24,1 millones al tipo de cambio en el momento del incidente) del tesoro del protocolo mediante una propuesta de mejora maliciosa. Con una participación habitual en la organización del 4-5% de la oferta total de tokens, ese paquete fue suficiente para obtener el control de la votación. A diferencia del caso de Bonk, ese ataque pudo ser detectado y repelido, pero solo después de que la propuesta fuera aprobada, mediante negociaciones.

¿La auditoría no es un indicador?

Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código los problemas son opuestos: los bugs son técnicos, conocidos desde hace tiempo —simplemente, por alguna razón, no se advirtió de ellos con antelación. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques exitosos no requirió buscar vulnerabilidades complejas de día cero: los atacantes utilizaron métodos conocidos por la industria desde hace años:

• errores de reentrada (reentrancy) — ejecutar otra vez una función antes de que finalice la llamada anterior;
• errores de control de acceso — cuando una función crítica para la seguridad está disponible para un círculo más amplio de personas del que debería;
• manipulación de oráculos — distorsión de los datos sobre el precio de un activo en los que se basa el contrato inteligente;
• errores lógicos en el propio sistema de negocio del protocolo, que los escáneres no detectan.

Los protocolos de puentes entre cadenas (cross-chain bridges) son los que más necesitan revisiones de código de calidad. Según datos de Phemex de abril de 2026, desde 2022 los puentes han perdido en conjunto más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. El problema es que la complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar en su totalidad para los especialistas: una gran cantidad de componentes independientes debe funcionar en paralelo, y basta con fallar en uno de ellos.

Un prompt en lugar de un auditor

Mientras los especialistas investigaban patrones recurrentes de vulnerabilidades, apareció un adversario para el cual ese análisis es una tarea rutinaria, resuelta a una velocidad inaccesible para cualquier equipo de expertos humanos. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes y descubrió nuevos exploits por un total de $4,6 millones. Para la verificación, los programadores crearon el benchmark SCONE-bench, compuesto por 405 contratos inteligentes realmente hackeados entre 2020 y 2025. Durante la simulación, las redes neuronales lograron atacar con éxito 207 de ellos, extrayendo en total $550,1 millones.

En la práctica, esto ya está ocurriendo. En junio, especialistas de Chainalysis informaron que habían detectado actividad anómala en las redes: múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una fuerza bruta automatizada de vulnerabilidades, y no el trabajo manual de un hacker individual.

La clave es más importante que el contrato

Ninguna auditoría de contratos inteligentes podría haber prevenido los mayores robos de los últimos dos años. Según el informe de Chainalysis de 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados, más que cualquier otro vector de ataque individual, incluidas las vulnerabilidades de contratos inteligentes.

El hackeo de Bybit es ilustrativo en este sentido. El 21 de febrero de 2025, el exchange perdió $1,46 mil millones en ETH, lo que se convirtió en el mayor robo único en la historia de la industria cripto. Los atacantes intervinieron en el proceso de transferencia habitual de fondos desde una billetera fría a una caliente: en la interfaz de Safe, los firmantes vieron datos manipulados y aprobaron una transacción aparentemente correcta que, en realidad, transfería el control de la billetera a los ciberdelincuentes. En junio de 2026, Humanity Protocol sufrió un ataque similar: los hackers obtuvieron acceso a las claves a través de una copia de seguridad almacenada en una computadora de un desarrollador infectada con malware. Las pérdidas ascendieron a aproximadamente $31 millones.

¿Qué funciona entonces?

Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías de contratos inteligentes por sí solas ya no son suficientes. Por eso, la industria está cambiando tanto las herramientas como el propio enfoque hacia el almacenamiento y la confirmación de operaciones: billeteras MPC, abstracción de cuentas con mecanismo de recuperación social de acceso, autenticación con passkey, uso de billeteras cripto de hardware y frías. La protección se está desplazando gradualmente de verificaciones puntuales a un monitoreo dinámico de amenazas en tiempo real. Los proyectos están implementando sistemas automatizados como Forta Network y Hypernative, que rastrean actividad anómala en el mempool incluso antes de que una transacción maliciosa se incluya en un bloque.

El modelo de respuesta preventiva ya ha demostrado su eficacia en la práctica. El 2 de septiembre de 2025, cuando los atacantes intentaron atacar el protocolo de préstamos Venus, el sistema de monitoreo Hexagate de Chainalysis detectó el despliegue de un contrato inteligente sospechoso y actividad anómala 18 horas antes de la fase principal del ataque. 20 minutos antes de la transacción final que debía vaciar los pools, el protocolo se pausó automáticamente. Los fondos permanecieron seguros y los hackers desperdiciaron recursos en el pago del gas.

La arquitectura de Web3 se diseñó originalmente con un objetivo radical: eliminar por completo la confianza en el ser humano, transfiriendo el control a las matemáticas inmutables. Las estadísticas de hackeos de los últimos años demuestran el efecto contrario. Un código perfectamente escrito y verificado dos veces resulta absolutamente impotente si un desarrollador abre un enlace de phishing y una comunidad descentralizada duerme durante la toma de control de una DAO. Quizás la principal vulnerabilidad sistémica de la economía blockchain no reside en absoluto en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas?

Mi conclusión: la industria está experimentando un cambio de paradigma fundamental. Estamos acostumbrados a confiar en el código, pero la realidad es que los errores más costosos se cometen fuera de la blockchain —en interfaces, procesos y decisiones humanas. Mientras los proyectos no integren una protección de múltiples capas que incluya monitoreo en tiempo real y soluciones de hardware, la vulnerabilidad persistirá. No es una cuestión de "si", sino de "cuándo" ocurrirá el próximo gran robo.