El factor humano — la principal vulnerabilidad de la industria cripto: análisis de ataques a la gestión y al código
Julio de 2026. El código de BonkDAO, la estructura de gobierno del memecoin en Solana, funcionó perfectamente, sin un solo fallo. Sin embargo, de la tesorería de la organización desaparecieron alrededor de $20 millones. No hubo hackeo en el sentido clásico: la votación fue legítima y, desde el punto de vista del código, la transacción es impecable. Este es un claro ejemplo de cómo los ataques a los mecanismos de gobernanza se vuelven algo cotidiano, y el eslabón débil es la persona, no el algoritmo.
Ataque a la descentralización
El 6 de julio de 2026, BonkDAO sufrió una toma de control de su gobernanza, que resultó en el robo de aproximadamente 4,43 billones de tokens BONK. El atacante no utilizó exploits complejos. Estudió detenidamente los estatutos de la organización y encontró fallas fundamentales, aprovechando la pasividad de la comunidad.
El esquema fue simple: bajo la apariencia de una propuesta rutinaria, Bonk Improvement Proposal #76, sobre recompensas para los participantes de la votación, el hacker introdujo una función maliciosa para transferir fondos a su dirección. Para alcanzar el quórum, gastó alrededor de $4,4 millones en exchanges centralizados, comprando el 1% de toda la emisión de BONK. Con una participación extremadamente baja, esto fue suficiente para controlar casi el 100% de los votos. Seis días después, la propuesta se ejecutó automáticamente.
Este incidente reveló deficiencias críticas en la arquitectura de la DAO: la falta de un mecanismo de demora temporal, un umbral de quórum demasiado bajo para disponer de grandes sumas y la ausencia de un derecho de veto de emergencia por parte del equipo. No es un caso aislado. Un año antes, se intentó un ataque similar contra la DAO del protocolo Compound, cuando los atacantes intentaron retirar 499,000 tokens COMP (~$24,1 millones). Ese ataque se pudo repeler, pero solo después de aceptar la propuesta, mediante negociaciones.
El problema no es un error en el código, sino los propios mecanismos de descentralización en Web3. La baja participación y la concentración de tokens son una vulnerabilidad sistémica. Ya a principios de 2026, el cofundador de Ethereum, Vitalik Buterin, criticó el modelo dominante de gobernanza basado en tokens, calificándolo de débil, vulnerable a la captura e incapaz de mitigar las deficiencias de la política humana.
La auditoría no es garantía de seguridad
Mientras se buscan fallos en la gobernanza de las DAO, en el código existen problemas de otro tipo. Según datos de los analistas de Kerberus, el 90% de los contratos inteligentes hackeados en 2025 pasaron auditorías con éxito. La mayoría de los ataques no requirió buscar vulnerabilidades complejas de día cero. Los atacantes utilizaron métodos conocidos desde hace tiempo: errores de reentrada (reentrancy), errores de control de acceso, manipulaciones con oráculos y errores lógicos en la lógica de negocio.
La cuestión de los puentes entre cadenas (cross-chain bridges) es especialmente acuciante. Desde 2022, han perdido más de $2,800 millones, lo que representa alrededor del 40% de todos los fondos robados en Web3. La complejidad de estos sistemas crea una amplia superficie de ataque. Ejemplos destacados de 2026:
- Truebit (8 de enero): perdió $26,4 millones debido a un desbordamiento de tipo entero en un contrato antiguo, desplegado cinco años atrás. Un error lógico clásico que podría haberse encontrado con una reauditoría.
- IoTeX (21 de febrero): los atacantes obtuvieron el control de la clave privada del validador del puente, actualizaron el contrato a una versión maliciosa y retiraron $4,4 millones, acuñando más de 111 millones de tokens.
- Kelp (18 de abril): el mayor exploit DeFi del año: se extrajeron alrededor de 116,500 rsETH por valor de $292 millones del puente en LayerZero. La causa fue una configuración con un único validador de mensajes entre cadenas y un ataque a la infraestructura RPC.
Las insignias de CertiK y Code4rena no protegieron los activos. La industria necesita nuevos mecanismos de defensa.
La IA como nuevo vector de amenaza
Aparece un adversario para el cual el análisis de vulnerabilidades es una tarea rutinaria. En diciembre de 2025, Anthropic anunció el uso de modelos de IA para buscar brechas en contratos inteligentes. En una simulación con el benchmark SCONE-bench (405 contratos realmente hackeados), las redes neuronales atacaron con éxito 207 de ellos, extrayendo $550,1 millones. Esto significa que la barrera de entrada al hacking se reduce drásticamente. Ya ahora, Chainalysis registra múltiples intentos de hackeo casi idénticos contra diferentes contratos al mismo tiempo, lo que indica un barrido automatizado de vulnerabilidades.
La clave es más importante que el contrato
Ninguna auditoría habría prevenido los mayores robos de los últimos años. Según datos de Chainalysis para 2024, el robo de claves privadas fue la causa de aproximadamente el 40% de los fondos sustraídos. El hackeo de Bybit en febrero de 2025 ($1,46 mil millones en ETH) es un claro ejemplo. Los atacantes alteraron los datos en la interfaz de Safe, y los firmantes aprobaron una transacción aparentemente correcta, cediendo el control de la billetera. De manera similar, en junio de 2026, Humanity Protocol se vio afectado, perdiendo $31 millones debido al acceso a las claves a través de una computadora de desarrollador infectada.
¿Qué funciona entonces?
Cuando se hackea no el código, sino el proceso de toma de decisiones, las auditorías por sí solas no son suficientes. La industria se está moviendo hacia una defensa dinámica:
- Billeteras MPC — dividir la clave en partes para eliminar un único punto de fallo.
- Abstracción de cuenta con recuperación social del acceso.
- Autenticación con passkeys para protegerse contra el phishing.
- Billeteras de hardware en lugar de soluciones de software en máquinas de trabajo.
La tendencia clave es el monitoreo en tiempo real. Sistemas como Forta Network y Hypernative rastrean actividad anómala en el mempool antes de que la transacción se incluya en un bloque. El ejemplo de Venus Protocol demostró su eficacia: el sistema Hexagate detectó actividad sospechosa 18 horas antes del ataque y pausó automáticamente el protocolo, preservando los fondos.
La arquitectura de Web3 se creó para eliminar la confianza en la persona, transfiriendo el control a las matemáticas. Pero las estadísticas muestran lo contrario: el código perfecto es impotente si el desarrollador hace clic en un enlace de phishing y la comunidad duerme durante la toma de control de una DAO.
Mi conclusión: estamos presenciando un cambio fundamental. La industria está pasando del paradigma de «seguridad mediante auditoría» al paradigma de «seguridad mediante monitoreo y resiliencia frente al factor humano». Quienes no se adapten a esto corren el riesgo de convertirse en la próxima estadística.