El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a DAO y más allá
Julio de 2026 será recordado por la comunidad cripto no solo por el crecimiento del mercado, sino también por el incidente ejemplar con BonkDAO. El código de la organización gestora del memecoin en Solana funcionó perfectamente, sin un solo error. Sin embargo, se extrajeron alrededor de $20 millones del tesoro. Esto no es un hackeo en el sentido clásico: la votación fue absolutamente legítima desde el punto de vista técnico. Estamos observando una nueva tendencia: los ataques a los mecanismos de gobernanza se están volviendo algo común, y el factor humano y la pasividad de la comunidad son el principal vector para los atacantes.
Ataque a la descentralización: captura de BonkDAO
El 6 de julio de 2026, BonkDAO enfrentó una captura de gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no utilizó exploits complejos. Actuó como un lector atento de los estatutos de la organización, encontrando debilidades fundamentales en ellos. Bajo la apariencia de una rutinaria Bonk Improvement Proposal #76, que suponía una recompensa para los participantes, se añadió una función maliciosa de transferencia de fondos.
Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones, comprando en exchanges centralizados el uno por ciento de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Las vulnerabilidades críticas fueron la falta de un retraso temporal en la ejecución, un umbral de quórum demasiado bajo para disponer de sumas enormes y la ausencia de derecho a veto por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra el DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones) utilizando una propuesta maliciosa. Con una participación habitual del 4-5%, ese paquete habría sido suficiente para el control. Ese ataque solo pudo repelerse mediante negociaciones después de que la propuesta fuera aprobada. El problema de la baja participación y la concentración de tokens no es un bug en el código, sino un defecto sistémico de los mecanismos de descentralización en Web3. No es de extrañar que ya a principios de 2026, Vitalik Buterin instara a reconsiderar el modelo dominante de gobernanza basado en tokens, calificándolo de débil y vulnerable a la captura.
La auditoría no es una garantía: vulnerabilidades en smart contracts
Mientras los DAO sufren de "ingeniería social", la situación con el código es diferente. Según datos de los analistas de Kerberus, el 90% de los smart contracts hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirió buscar vulnerabilidades de día cero. Los atacantes utilizaron métodos conocidos desde hace tiempo: errores de reentrancy, errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo.
Los puentes cross-chain son especialmente vulnerables, habiendo perdido más de $2,8 mil millones desde 2022, alrededor del 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una amplia superficie de ataque. El año 2026 ofreció varios ejemplos notables:
- 8 de enero: el protocolo Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto desplegado hace cinco años.
- 21 de febrero: los atacantes obtuvieron control sobre la clave privada del validador del puente IoTeX, actualizaron el contrato a una versión maliciosa y retiraron $4,4 millones, acuñando más de 111 millones de tokens.
- 18 de abril: el mayor exploit DeFi del año: del puente Kelp en LayerZero se retiraron alrededor de 116,500 rsETH por $292 millones debido a un único validador y un ataque a la infraestructura RPC.
Incluso tener insignias de CertiK y Code4rena no salva los activos. La industria necesita nuevos mecanismos de defensa, especialmente en el contexto del desarrollo de la IA.
La IA como nueva amenaza
Mientras los especialistas analizan patrones repetitivos, ha aparecido un adversario para el cual este análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en smart contracts. Durante una simulación en el benchmark SCONE-bench (405 contratos realmente hackeados), las redes neuronales atacaron con éxito 207 de ellos, retirando $550,1 millones virtuales. Ya en junio, los especialistas de Chainalysis registraron una actividad anómala: múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades. El umbral de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de alrededor del 40% de los fondos robados. El hackeo de Bybit el 21 de febrero de 2025 es un ejemplo notable, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. En junio de 2026, Humanity Protocol sufrió un ataque similar, perdiendo $31 millones debido a claves almacenadas en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
Cuando se hackea no el código, sino el proceso de toma de decisiones, se necesitan nuevas herramientas. La industria está implementando wallets MPC, abstracción de cuenta con recuperación social, autenticación passkey y almacenamiento en hardware. La protección se desplaza de verificaciones puntuales a un monitoreo dinámico en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool. El ejemplo de Venus Protocol el 2 de septiembre de 2025 mostró su eficacia: el sistema Hexagate detectó actividad sospechosa 18 horas antes del ataque y pausó automáticamente el protocolo 20 minutos antes de la transacción final, preservando los fondos.
La arquitectura de Web3 fue diseñada para eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Pero las estadísticas muestran lo contrario: un código perfectamente escrito es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante una captura de DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no son los algoritmos, sino las personas en ambos extremos del cable.
Mi conclusión: nos movemos hacia un modelo donde la seguridad no es una auditoría puntual, sino un proceso constante. Sin embargo, mientras el factor humano siga siendo el eslabón débil, cualquier solución técnica será solo un aplazamiento del próximo incidente. La industria necesita no solo perfeccionar el código, sino también cultivar una cultura de responsabilidad entre los participantes.