El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a DAO y contratos inteligentes
Julio de 2026 estuvo marcado por un incidente paradójico: el código de BonkDAO —la estructura de gobernanza del memecoin en Solana— funcionó perfectamente, pero el tesoro perdió alrededor de $20 millones. No hubo ningún hackeo en el sentido habitual: la votación fue legítima y el atacante actuó estrictamente dentro de las reglas. Esto no es una anomalía, sino una tendencia alarmante que redefine el panorama de las ciberamenazas en Web3.
El ataque a la descentralización como nuevo estándar
El 6 de julio de 2026, BonkDAO enfrentó una toma de control de la gobernanza que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El esquema resultó ser dolorosamente simple: disfrazado de propuesta rutinaria Bonk Improvement Proposal #76 sobre recompensas para participantes, el hacker insertó una función maliciosa de transferencia de fondos. Al gastar $4,4 millones en exchanges centralizados para comprar el 1% de la emisión, aseguró el control de casi el 100% de los votos con una participación extremadamente baja. Seis días después, la propuesta se ejecutó automáticamente.
Las deficiencias clave del sistema —la falta de un retraso temporal en la ejecución de decisiones, el bajo umbral de quórum y la ausencia de derecho a veto por parte del equipo— hicieron que el ataque fuera inevitable. Esto no es un caso aislado: un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, donde los atacantes intentaron retirar 499,000 tokens COMP por valor de $24,1 millones. Ese ataque se repelió mediante negociaciones, pero solo después de que se aprobara la propuesta.
La baja participación y la concentración de tokens no son un error en el código, sino un defecto fundamental en la tokenómica de la gobernanza. El cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 criticaba el modelo dominante de gobernanza basado en tokens, calificándolo de "débil" y "vulnerable a la captura". Parece que sus preocupaciones se están confirmando en la práctica.
La auditoría no es una panacea
Mientras unos buscan fallas en la gobernanza, otros se enfrentan a problemas técnicos. Según datos de analistas, el 90% de los contratos inteligentes hackeados en 2025 superaron con éxito la auditoría. Los atacantes no reinventan la rueda: utilizan errores clásicos —reentrancy, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
Especialmente vulnerables son los puentes entre cadenas: desde 2022 han perdido más de $2,8 mil millones, lo que representa alrededor del 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una enorme superficie de ataque difícil de evaluar en su totalidad. Ejemplos destacados de 2026: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al validador del puente IoTeX con daños de $4,4 millones y el exploit récord de Kelp por $292 millones a través de un único validador de LayerZero.
La IA como nueva amenaza
La situación se agrava con el desarrollo de la inteligencia artificial. En diciembre de 2025, Anthropic anunció la creación del benchmark SCONE-bench, que incluye 405 contratos realmente hackeados. Las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones en simulación. Esto ya no es teoría: Chainalysis registra múltiples intentos sincronizados de hackeo de decenas de contratos, lo que indica una búsqueda automatizada de vulnerabilidades. El umbral de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección.
La clave importa más que el código
Sin embargo, ninguna auditoría habría evitado los mayores robos de los últimos años. El robo de claves privadas fue la causa de alrededor del 40% de todos los fondos sustraídos en 2024. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es un ejemplo claro: los atacantes sustituyeron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta. Un destino similar sufrió Humanity Protocol en junio de 2026, cuando las claves fueron robadas de una computadora infectada de un desarrollador.
¿Qué funciona?
La industria se ve obligada a adaptarse. Las auditorías puntuales están siendo reemplazadas por sistemas dinámicos de monitoreo en tiempo real, como Forta Network e Hypernative. El modelo preventivo ya ha demostrado su eficacia: en septiembre de 2025, el sistema Hexagate de Chainalysis detectó la preparación de un ataque al protocolo Venus con 18 horas de antelación y lo pausó automáticamente 20 minutos antes de la transacción final.
La arquitectura de Web3 se creó para eliminar la confianza en las personas, pero las estadísticas muestran lo contrario. El código perfecto es inútil si el desarrollador hace clic en un enlace de phishing y la comunidad duerme durante la toma de control de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en las personas, que siguen estando en ambos extremos del cable.
Mi comentario: La industria atraviesa una transición dolorosa desde la fe ingenua en el "código como ley" hacia la comprensión de que la seguridad es un proceso integral que incluye gobernanza, monitoreo y factor humano. Los proyectos que no aprendan esta lección están condenados a convertirse en la próxima estadística en los informes de hackeos.