El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y al código
Julio de 2026 será recordado por la comunidad cripto no por los precios de bitcoin, sino por un incidente paradójico: el código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente. Sin embargo, unos $20 millones desaparecieron de las arcas de la organización. No hubo ningún hackeo en el sentido clásico: la votación fue legítima, pero los resultados fueron catastróficos.
Este caso es una clara ilustración de cómo los ataques a los mecanismos de gobernanza se están convirtiendo en la nueva norma. Los atacantes explotan cada vez más no errores en el código, sino la pasividad humana y las imperfecciones de los procesos descentralizados. Es revelador que incluso el análisis con IA de contratos inteligentes obsoletos se haya convertido en un arma de doble filo: ayuda tanto a defensores como a atacantes.
Captura de gobernanza: robo legal
El 6 de julio de 2026, BonkDAO sufrió un ataque a su sistema de gobernanza. El atacante robó alrededor de 4,43 billones de tokens BONK, aprovechando debilidades fundamentales de la arquitectura de la DAO. Bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, que prometía recompensas a los participantes de la votación, el hacker insertó una función maliciosa para retirar fondos.
Para alcanzar el quórum, gastó unos $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la transacción se ejecutó automáticamente. Las vulnerabilidades críticas eran evidentes: falta de retardo temporal en la ejecución de decisiones, un umbral de quórum demasiado bajo y ausencia de derecho a veto por parte del equipo.
Este no es un caso aislado. Un año antes, se intentó algo similar contra la DAO del protocolo Compound. En julio de 2024, los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones) mediante una propuesta maliciosa. Con una participación habitual del 4-5%, ese paquete otorgaba control total sobre la votación. Ese ataque se pudo repeler, pero solo después de que la propuesta fuera aceptada, mediante negociaciones. El problema, como he señalado en repetidas ocasiones, no radica en el código, sino en el propio modelo de votación por tokens, que fomenta la apatía y la concentración de poder.
La auditoría no es una panacea
Mientras en las DAO se buscan fallos sin una sola línea de exploit, con el código la situación es diferente. Según mis datos, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. Los atacantes no utilizan vulnerabilidades complejas de día cero, sino métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones de oráculos y errores lógicos en la lógica de negocio.
Los puentes entre cadenas son especialmente vulnerables. Desde 2022 han perdido más de $2,8 mil millones, lo que representa alrededor del 40% de todos los fondos robados en Web3. La complejidad de los mensajes entre redes crea una enorme superficie de ataque. Los ejemplos de 2026 son reveladores: el hackeo de Truebit por $26,4 millones debido a un desbordamiento de tipo entero, el ataque al puente de IoTeX con compromiso de la clave privada de un validador, y el mayor exploit del año: la extracción de $292 millones del protocolo Kelp.
La IA como herramienta de hackeo
Una nueva ola de amenazas está relacionada con la inteligencia artificial. En diciembre de 2025, Anthropic anunció que sus modelos de IA atacaron con éxito 207 de 405 contratos inteligentes realmente hackeados, extrayendo $550,1 millones virtuales. Esto confirma mis temores: la barrera de entrada al hacking está cayendo rápidamente. Lo que antes requería un desarrollador experimentado en Solidity, ahora se reduce a formular el prompt correcto.
La clave: el principal objetivo
Sin embargo, ninguna auditoría habría evitado los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas es la causa de alrededor del 40% de todos los fondos sustraídos. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 es el ejemplo más claro. Los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción que transfirió el control de la billetera. De manera similar, en junio de 2026, Humanity Protocol perdió $31 millones debido a malware en la computadora de un desarrollador.
La protección se desplaza de verificaciones puntuales a un monitoreo dinámico. Sistemas como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El modelo ya funciona: en septiembre de 2025, se logró prevenir un ataque al Protocolo Venus 20 minutos antes de la transacción final.
La arquitectura de Web3 se creó para eliminar la confianza en las personas, pero las estadísticas dicen lo contrario. Un código perfecto es inútil si un desarrollador hace clic en un enlace de phishing y la comunidad duerme durante la captura de una DAO. La principal vulnerabilidad sistémica de la economía blockchain no está en los algoritmos, sino en las personas en ambos extremos de la conexión. Por eso pronostico que los próximos grandes hackeos no estarán relacionados con la criptografía, sino con la ingeniería social.