El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y nuevas amenazas
Julio de 2026 se convirtió en un hito para la seguridad de las finanzas descentralizadas. El código de BonkDAO, la estructura de gobierno del popular memecoin en Solana, funcionó impecablemente, pero eso no impidió que los atacantes extrajeran alrededor de $20 millones del tesoro. No hubo hackeos habituales: la votación fue legítima y el ataque se llevó a cabo «dentro de las reglas».
Este incidente es solo la punta del iceberg. La industria se enfrenta a una nueva realidad donde los ataques a la gobernanza se vuelven rutinarios y el factor humano es el principal objetivo de los hackers. Al mismo tiempo, la inteligencia artificial, capaz de analizar contratos inteligentes antiguos, se convierte en una llave maestra universal para los atacantes y, a la vez, en un serio problema para la ciberseguridad.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante explotó las debilidades fundamentales de la arquitectura de la DAO y la pasividad de la comunidad, ejecutando una transacción legal desde el punto de vista del código.
El esquema fue simple y efectivo. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que suponía recompensar a los participantes de la votación, el hacker insertó una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
El ataque reveló deficiencias críticas en el sistema de gobernanza: falta de retraso temporal en la ejecución de decisiones, un quórum demasiado bajo para disponer de grandes sumas y ausencia de derecho de veto de emergencia por parte del equipo. El atacante simplemente leyó atentamente los estatutos de la organización y encontró el punto débil.
No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron extraer 499,000 tokens COMP (alrededor de $24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5%, ese paquete habría sido suficiente para controlar la votación. Ese ataque se pudo repeler, pero solo después de que la propuesta fuera aprobada, mediante negociaciones.
El problema no está en los errores de código, sino en los propios mecanismos de descentralización. La baja participación y la concentración de tokens son deficiencias fundamentales del modelo de gobernanza en Web3. No es sorprendente que, a principios de 2026, el cofundador de Ethereum, Vitalik Buterin, instara a desarrollar formas más avanzadas de DAO, calificando el modelo dominante de «improductivo y débil», vulnerable a la captura e incapaz de mitigar las deficiencias de la política humana.
La auditoría no es garantía de seguridad
Mientras se buscan agujeros en la gobernanza de las DAO sin una sola línea de exploit, la situación con el código es diferente. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirieron vulnerabilidades complejas de día cero; se utilizaron métodos conocidos desde hace tiempo:
- errores de reentrada (reentrancy);
- errores de control de acceso;
- manipulaciones con oráculos;
- errores lógicos en la lógica de negocio del protocolo.
Los puentes entre cadenas son especialmente vulnerables. Según datos de Phemex de abril de 2026, desde 2022 los puentes han perdido más de $2,8 mil millones, aproximadamente el 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre cadenas crea una amplia superficie de ataque difícil de evaluar en su totalidad.
2026 ofreció varios ejemplos reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de entero, el ataque al puente de IoTeX con control sobre la clave privada del validador y el mayor exploit del año: el ataque al protocolo de restaking líquido Kelp, del que se extrajeron alrededor de 116,500 rsETH por $292 millones a través del puente de LayerZero. Todo esto ocurrió a pesar de contar con insignias de CertiK y Code4rena.
Prompt en lugar de auditor
Mientras los especialistas investigaban patrones repetidos, apareció un adversario para quien ese análisis es una tarea rutinaria. El 1 de diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. Durante una simulación en el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. En las pruebas con 34 contratos hackeados después de marzo de 2025, los resultados también fueron impresionantes.
En la práctica, esto ya está ocurriendo. Los especialistas de Chainalysis registraron múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, lo que indica una búsqueda automatizada de vulnerabilidades. La barrera de entrada al hacking está bajando más rápido de lo que crece la calidad de la protección. Para una parte significativa de los ataques típicos, ahora basta con formular la solicitud correcta.
La clave importa más que el contrato
Ninguna auditoría habría podido prevenir los mayores robos de los últimos dos años. Según datos de Chainalysis de 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos robados. Los ataques cada vez se dirigen menos a la blockchain y más a la infraestructura que la rodea.
Es revelador el hackeo de Bybit el 21 de febrero de 2025, cuando el exchange perdió $1,46 mil millones en ETH. Los atacantes intervinieron en el proceso de transferencia de fondos: en la interfaz de Safe, los firmantes vieron datos alterados y aprobaron una transacción aparentemente correcta que transfirió el control de la billetera. En junio de 2026, Humanity Protocol sufrió un ataque similar, perdiendo $31 millones debido al acceso a las claves a través de una copia de seguridad en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías por sí solas no son suficientes. La industria está cambiando su enfoque hacia el almacenamiento y la confirmación de operaciones:
- billeteras MPC, que eliminan el punto único de fallo;
- abstracción de cuentas con recuperación social;
- autenticación con passkeys para protegerse del phishing;
- billeteras de hardware y frías en lugar de soluciones de software.
La protección se desplaza de verificaciones puntuales a un monitoreo dinámico en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El modelo de respuesta preventiva ya ha demostrado su eficacia: el 2 de septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque al protocolo Venus con 18 horas de antelación y lo pausó automáticamente 20 minutos antes de la transacción final.
La arquitectura de Web3 se diseñó con el objetivo de eliminar la confianza en el ser humano, transfiriendo el control a las matemáticas. Las estadísticas de hackeos demuestran el efecto contrario. Un código perfectamente escrito es inútil si el desarrollador abre un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. Parece que la principal vulnerabilidad sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas.
Mi conclusión: la industria está pasando del paradigma de la «seguridad absoluta del código» a un modelo de «gestión de riesgos», donde el factor humano y la velocidad de reacción se vuelven críticos. Las inversiones en monitoreo y protección automatizada ahora son tan importantes como la auditoría de contratos inteligentes.