El factor humano como principal exploit: por qué el código ya no lo resuelve
En julio de 2026, el código de BonkDAO —la organización gestora de la memecoin en Solana— funcionó impecablemente. A pesar de ello, aproximadamente $20 millones fueron retirados de la tesorería. No hubo ningún hackeo en el sentido clásico: la votación fue legítima, desde el punto de vista del protocolo.
Considero este incidente como una señal emblemática: la industria está pasando de la era de los exploits técnicos a la era de la explotación de la naturaleza humana y las debilidades de la gobernanza. Este es un cambio fundamental que requiere revisar todo el paradigma de seguridad.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO enfrentó la captura de su gobernanza descentralizada. El atacante robó alrededor de 4,43 billones de tokens BONK, utilizando no un error en el código, sino lagunas fundamentales en la arquitectura de la DAO y la pasividad de la comunidad.
El esquema fue extremadamente simple y elegante. Bajo la apariencia de una iniciativa rutinaria, la Propuesta de Mejora de Bonk #76, que suponía una recompensa para los participantes, el hacker insertó una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. En un contexto de participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
Este caso reveló deficiencias críticas: la falta de un retraso temporal en la ejecución de las decisiones, un quórum demasiado bajo para disponer de sumas enormes y la ausencia de un derecho de veto de emergencia por parte del equipo. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, pero ese ataque pudo ser repelido.
La baja participación y la concentración de tokens no son un bug, sino una característica del modelo de gobernanza actual en Web3. Es revelador que ya a principios de 2026, Vitalik Buterin instara a desarrollar formas más avanzadas de DAO, calificando el modelo dominante basado en tokens como "improductivo y débil".
La auditoría no es un indicador
Mientras en la gobernanza de las DAO se buscan agujeros sin una sola línea de exploit, con el código la situación es paradójica. Los datos de los analistas de Kerberus muestran que el 90% de los contratos inteligentes hackeados en 2025 habían pasado auditorías con éxito. Los atacantes utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Los puentes cross-chain son especialmente vulnerables. Desde 2022, han perdido colectivamente más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes cross-chain crea una enorme superficie de ataque que es físicamente difícil de evaluar en su totalidad.
El año 2026 ofreció varios ejemplos reveladores:
- El protocolo Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto.
- Los atacantes obtuvieron el control de la clave privada del validador del puente de IoTeX y retiraron $4,4 millones.
- El mayor exploit DeFi del año fue el ataque al protocolo Kelp: del puente en LayerZero se retiraron alrededor de $292 millones.
El prompt en lugar del auditor
El nuevo adversario es la IA. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. Durante una simulación en el benchmark SCONE-bench, las redes neuronales atacaron con éxito 207 de los 405 contratos realmente hackeados, retirando $550,1 millones. Esto reduce el umbral de entrada al hacking hasta la formulación de la solicitud correcta.
La clave es más importante que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos robados. Es revelador el hackeo de Bybit por $1,46 mil millones, donde los atacantes sustituyeron los datos en la interfaz de Safe. De manera similar, Humanity Protocol se vio afectado, perdiendo $31 millones debido a una computadora de desarrollador infectada.
La industria responde con la implementación de billeteras MPC, abstracción de cuentas, autenticación con passkeys y monitoreo dinámico de amenazas en tiempo real. Sistemas como Hexagate ya han demostrado su eficacia, previniendo un ataque al Protocolo Venus.
La arquitectura de Web3 fue diseñada con el objetivo de eliminar la confianza en el ser humano. Pero las estadísticas demuestran lo contrario: el código perfecto es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain son las personas. Y parece que tendremos que aceptarlo.
Mi conclusión: estamos presenciando un cambio fundamental en las amenazas. Las herramientas para protegerse de ataques técnicos ya existen, pero la protección contra el factor humano requiere un cambio de cultura y procesos. Los proyectos que no revisen sus modelos de gobernanza y seguridad tendrán que pagar un precio medido en miles de millones.