El factor humano: la principal vulnerabilidad de la industria cripto que no se puede cerrar con una auditoría
Julio de 2026 se convirtió en un hito para todo el ecosistema de Solana. El código de BonkDAO, el órgano de gobierno de uno de los memecoins más conocidos, funcionó perfectamente, sin un solo error. Y, sin embargo, el tesoro perdió alrededor de $20 millones. No hubo ningún hackeo en el sentido clásico: la votación fue legítima y la transacción fue aprobada según todas las reglas del sistema descentralizado.
Este incidente no es una anomalía, sino el resultado lógico de la evolución de los ataques. Estamos presenciando un cambio fundamental: los atacantes ya no hackean el código, hackean el proceso de toma de decisiones. Y en esta nueva realidad, el factor humano se convierte no solo en el eslabón débil, sino en el principal vector de ataque.
Ataque a la gobernanza: robo legal
El 6 de julio de 2026, un atacante llevó a cabo una operación que pasará a los libros de texto de ciberseguridad. Disfrazada de propuesta rutinaria Bonk Improvement Proposal #76 sobre recompensas para los participantes de la votación, introdujo una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, el hacker gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos.
La arquitectura del DAO no contemplaba un mecanismo de retraso temporal en la ejecución de decisiones, y el quórum para disponer de sumas colosales resultó ser ridículamente bajo. El equipo ni siquiera tenía derechos de veto de emergencia. El atacante simplemente leyó atentamente los estatutos de la organización y encontró en ellos un punto débil.
Este no es un caso aislado. Un año antes, se intentó un ataque similar contra el DAO del protocolo Compound, tratando de retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se logró repeler, pero solo después de aceptar la propuesta, mediante negociaciones. Es revelador que el cofundador de Ethereum, Vitalik Buterin, ya a principios de 2026 advirtiera: el modelo de gobernanza orientado a tokens es ineficaz, vulnerable a la captura y "fracasa por completo en la tarea de mitigar las deficiencias de la política humana".
La auditoría como ficción
Mientras en la gobernanza se buscan grietas sin una sola línea de exploit, con el código la situación es paradójica. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron exitosamente la auditoría. La mayoría de los ataques no requirió vulnerabilidades complejas de día cero: se utilizaron métodos conocidos por la industria durante años: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos.
Los casos de 2026 son especialmente reveladores. El protocolo Truebit perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato obsoleto, desplegado cinco años atrás. El puente IoTeX fue comprometido a través de la clave privada de un validador. Y el mayor exploit del año: el ataque al protocolo de restaking líquido Kelp, donde se retiraron $292 millones a través de un único validador de mensajes entre cadenas.
Las insignias de CertiK y Code4rena resultaron inútiles. La industria recibió una dura lección: una revisión única del código no protege contra amenazas dinámicas.
La IA como nueva amenaza
La situación se agrava con la llegada de la inteligencia artificial. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas. Durante una simulación en el benchmark SCONE-bench, compuesto por 405 contratos realmente hackeados, las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Ya en junio, los especialistas de Chainalysis registraron múltiples intentos de hackeo casi idénticos de diferentes contratos simultáneamente, una señal clara de fuerza bruta automatizada de vulnerabilidades.
El umbral de entrada al hacking se reduce más rápido de lo que crece la calidad de la protección. Hace unos años, encontrar una vulnerabilidad explotable requería un especialista experimentado en Solidity. Ahora, para una parte significativa de los ataques típicos, basta con formular correctamente una solicitud a un LLM.
La clave es más importante que el contrato
Pero ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis, el robo de claves privadas fue la causa de aproximadamente el 40% de todos los fondos sustraídos, más que cualquier otro vector de ataque. El hackeo de Bybit por $1,46 mil millones, el mayor en la historia de la industria cripto, ocurrió debido a la sustitución de datos en la interfaz de Safe: los firmantes aprobaron una transacción externamente correcta que transfería el control de la billetera a los atacantes. Y Humanity Protocol, en junio de 2026, perdió $31 millones debido a una copia de seguridad de claves en una computadora infectada de un desarrollador.
¿Qué funciona entonces?
La industria se ve obligada a reconstruir su defensa. Las revisiones únicas están siendo reemplazadas por sistemas dinámicos de monitoreo en tiempo real. El caso de Venus Protocol es revelador: el sistema Hexagate de Chainalysis detectó actividad anómala 18 horas antes de la fase principal del ataque y puso automáticamente el protocolo en pausa 20 minutos antes de la transacción final. Los fondos permanecieron a salvo.
Las billeteras MPC, la abstracción de cuentas con recuperación social, la autenticación con passkeys: todos estos mecanismos se están convirtiendo en el estándar de facto. Pero la principal conclusión que extraigo del análisis de estos incidentes es que la arquitectura Web3, diseñada para eliminar por completo la confianza en el ser humano, en la práctica demuestra el efecto contrario. Un código perfectamente escrito es impotente si el desarrollador abre un enlace de phishing y la comunidad duerme durante la captura del DAO. Quizás la vulnerabilidad más sistémica de la economía blockchain no reside en los algoritmos, sino en que en ambos extremos del cable siguen habiendo personas. Y hasta que no reconozcamos este hecho, cualquier innovación técnica será solo un parche temporal.