El factor humano — la principal vulnerabilidad de DeFi: ataque a BonkDAO, hackeos de puentes y la nueva era de hackeos con IA.
El código de BonkDAO — la estructura de gobierno del memecoin en Solana — en julio de 2026 funcionó sin un solo error. Sin embargo, de la tesorería de la organización se filtraron alrededor de $20 millones. No fue un ataque hacker clásico con exploit, sino una transacción legítima desde el punto de vista del código, aprobada mediante una votación real. Observamos una tendencia alarmante: los ataques a los mecanismos de gobierno se están volviendo algo cotidiano, y el factor humano se convierte en el vector preferido para los delincuentes.
Toma de control: anatomía del ataque a BonkDAO
El 6 de julio de 2026, BonkDAO sufrió la captura de su gobierno descentralizado. El atacante extrajo alrededor de 4,43 billones de tokens BONK, aprovechando fallas fundamentales en la arquitectura de la DAO y la apatía de la comunidad. Bajo la apariencia de una propuesta rutinaria, la Bonk Improvement Proposal #76 sobre recompensas para participantes, el hacker introdujo una función maliciosa que redirigía los fondos a su dirección.
Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente. Las vulnerabilidades críticas fueron la falta de un mecanismo de retraso temporal en la ejecución de decisiones, un umbral de quórum demasiado bajo y la ausencia de derecho a veto por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 tokens COMP (~$24,1 millones), pero el ataque se pudo repeler después de que la propuesta fuera aprobada, mediante negociaciones. La baja participación y la concentración de tokens no son un error en el código, sino un problema sistémico de los mecanismos de descentralización en Web3.
La auditoría no garantiza la seguridad
Mientras en las DAO se buscan agujeros sin una sola línea de exploit, con el código la situación es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques utilizaron métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio del protocolo.
Los puentes entre cadenas (cross-chain) generan especial preocupación. Desde 2022 han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque que es físicamente difícil de evaluar en su totalidad.
El año 2026 mostró varios vectores de ataque: desde el desbordamiento de tipo entero en un contrato obsoleto de Truebit ($26,4 millones) hasta la comprometida clave privada de un validador del puente IoTeX ($4,4 millones) y el mayor exploit del año: el ataque al protocolo Kelp con la extracción de $292 millones debido a un único validador y el ataque a la infraestructura RPC de LayerZero.
La IA como nueva amenaza
Aparece un adversario para el cual el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante una simulación en el benchmark SCONE-bench, las redes neuronales atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550,1 millones. La barrera de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave es más importante que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. El robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 y el ataque a Humanity Protocol en junio de 2026 ($31 millones) son ejemplos claros de compromiso de los procesos de toma de decisiones, no del código.
¿Qué funciona?
La industria está desplazando el enfoque hacia el monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean la actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo del Protocolo Venus mostró su eficacia: el sistema Hexagate detectó actividad sospechosa 18 horas antes del ataque y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final.
La arquitectura de Web3 fue diseñada para eliminar la confianza en el ser humano, pero las estadísticas muestran lo contrario. El código perfecto es inútil si un desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi comentario: Estamos entrando en una era donde la seguridad de Web3 no se define por la calidad del código, sino por la resiliencia de los procesos humanos y la velocidad de respuesta automatizada. Los proyectos que no invierten en monitoreo real y no revisan sus modelos de gobierno se convertirán en la próxima presa fácil.