El factor humano: por qué en 2026 el código no es el principal objetivo de los hackers
Julio de 2026 se convirtió en un hito para la industria: el código de BonkDAO, el órgano de gobierno del memecoin en Solana, funcionó perfectamente, pero eso no impidió que los atacantes sacaran alrededor de $20 millones de la tesorería. No hubo un hackeo en el sentido clásico: la votación fue legítima, pero el resultado fue catastrófico. Esto no es solo un incidente, sino un síntoma de una enfermedad profunda en todo el ecosistema de las finanzas descentralizadas.
Ataque a la gobernanza: cuando el código no salva
El 6 de julio de 2026, BonkDAO sufrió una toma de control de la gobernanza. El hacker, disfrazando su acción como la propuesta rutinaria Bonk Improvement Proposal #76 sobre recompensas para participantes, insertó una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones, comprando el 1% de la emisión de BONK en exchanges centralizados. Con una baja participación, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
El problema clave es la falta de un mecanismo de retardo temporal en la ejecución de decisiones y un umbral de quórum demasiado bajo. No es el primer caso: un año antes, se intentó algo similar contra Compound, pero se logró repeler. La baja participación y la concentración de tokens no son un error del código, sino un defecto fundamental en la tokenómica de la gobernanza en Web3. Vitalik Buterin ya a principios de 2026 advirtió que el modelo dominante de DAO "fracasa por completo en la tarea de mitigar las deficiencias de la política humana".
La auditoría no es una panacea
Mientras las DAO sufren por las brechas de gobernanza, con el código la situación no es mejor. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. Los atacantes utilizan métodos conocidos desde hace tiempo: errores de reentrada, problemas de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio. Especialmente vulnerables son los puentes entre cadenas, que desde 2022 han perdido más de $2,8 mil millones, alrededor del 40% de todos los fondos robados en Web3.
2026 ofreció ejemplos reveladores: desde el desbordamiento de tipo entero en Truebit ($26,4 millones) hasta el hackeo de IoTeX a través de una clave privada de validador ($4,4 millones) y el mayor exploit del año en Kelp por $292 millones. Las insignias de CertiK y Code4rena no pudieron proteger los activos.
La IA como nueva amenaza
La situación se agrava con la llegada de la IA. En diciembre de 2025, Anthropic anunció que sus modelos atacaron con éxito 207 de 405 contratos realmente hackeados, extrayendo $550,1 millones virtuales. La barrera de entrada al hacking está cayendo rápidamente: ahora, para atacar vulnerabilidades típicas, basta con formular correctamente una solicitud a la red neuronal, en lugar de ser un desarrollador experimentado de Solidity.
La clave importa más que el contrato
Sin embargo, el principal vector de ataques no es el código, sino las personas. Según datos de Chainalysis, el robo de claves privadas fue la causa de alrededor del 40% de todos los fondos robados. El hackeo de Bybit por $1,46 mil millones en febrero de 2025 y el ataque a Humanity Protocol ($31 millones) en junio de 2026 son ejemplos claros de compromiso del software de trabajo y de la falta de atención humana.
¿Qué funciona entonces?
La industria está desplazando el enfoque de las auditorías puntuales hacia el monitoreo dinámico. Se implementan billeteras MPC, abstracción de cuentas con recuperación social, autenticación con passkeys y almacenamiento en hardware. Sistemas como Forta Network y Hypernative rastrean anomalías en el mempool antes de que la transacción se incluya en un bloque. El ejemplo de Venus Protocol en septiembre de 2025 mostró su eficacia: el ataque se evitó 20 minutos antes de la transacción final.
Mi comentario: La industria finalmente ha comprendido que un código perfectamente escrito es impotente contra la ingeniería social y la apatía de la comunidad. Nos movemos hacia un modelo donde la seguridad no es una auditoría estática, sino un proceso constante de monitoreo y adaptación. La pregunta es si lograremos reestructurarnos antes de que los ataques de IA se vuelvan completamente automatizados y masivos.