Por Canuto  

Los ataques contra plataformas y componentes cripto sumaron USD $1.180 millones en el tercer trimestre, según Hacken. Aunque una parte importante fue devuelta, revertida o cubierta por operadores, el informe advierte que proveedores, herramientas y otros elementos externos a las auditorías concentraron la mayor parte de las pérdidas.
***

  • Hacken contabilizó 107 incidentes y atribuyó USD $906 millones, el 77% del total, a proveedores comprometidos, herramientas de desarrollo y otros componentes de infraestructura.
  • Los cuatro casos más costosos fueron Bitget, Liquid Network, Tectonic y una vulnerabilidad de firmware de Coldcard; juntos representaron cerca del 80% de las pérdidas.
  • USD $387 millones fueron devueltos o revertidos y los operadores cubrieron otros USD $410 millones, pero USD $384 millones quedaron sin recuperar ni reembolsar.

Hackeos cripto rozan USD $1.180 millones en un trimestre marcado por fallas externas

Los incidentes de seguridad en el sector cripto provocaron pérdidas brutas por USD $1.180 millones durante el tercer trimestre de 2026, distribuidas en 107 casos, de acuerdo con el informe trimestral de Hacken. La cifra convierte al periodo en el más dañino desde el primer trimestre de 2025, cuando el robo de USD $1.400 millones a Bybit, atribuido a Corea del Norte, elevó las pérdidas totales de aquel trimestre a USD $1.600 millones.

El valor acumulado no describe por sí solo el alcance de cada ataque: cuatro incidentes explicaron cerca del 80% del monto, mientras que 98 de los 107 casos dejaron pérdidas inferiores a USD $10 millones. La mediana fue de USD $670.000, una diferencia que muestra cómo unos pocos episodios de gran escala pueden dominar el balance trimestral, aunque la mayoría de los sucesos individuales tenga un impacto económico mucho menor.

Proveedores e infraestructura, en el centro de las pérdidas

Hacken atribuyó unos USD $906 millones, equivalentes al 77% de las pérdidas brutas, a proveedores comprometidos, herramientas de desarrollo vulneradas, correcciones de seguridad divulgadas pero aún no instaladas y otros componentes que quedaron fuera de las revisiones de seguridad. El dato desplaza la atención más allá del código de un protocolo: una plataforma puede someter sus contratos a auditorías y, aun así, depender de servicios, herramientas y componentes externos que abran otras vías de ataque.

Los cuatro episodios de mayor impacto fueron el hackeo de Bitget, estimado en USD $387 millones; el exploit de Liquid Network, por USD $320 millones; el ataque a Tectonic, por USD $120 millones; y una vulnerabilidad en el firmware de Coldcard, asociada con pérdidas estimadas en USD $115 millones. En conjunto, los montos suman USD $942 millones, alrededor del 80% del total reportado, por lo que el balance del trimestre quedó fuertemente condicionado por unos pocos incidentes.

El informe presenta además una diferencia entre la frecuencia de los ataques y su costo agregado. Los incidentes relacionados con contratos inteligentes fueron el vector más utilizado, con 71 casos y USD $228 millones en pérdidas, pero los compromisos de proveedores y fallas de infraestructura explicaron una proporción mayor del dinero perdido en todo el trimestre.

La distinción importa para evaluar las prioridades de seguridad: contar incidentes permite identificar qué tipo de vulnerabilidad se repite, mientras que medir su valor revela dónde se concentró el daño financiero. En este periodo, los contratos inteligentes encabezaron el primer indicador, pero las dependencias externas y los fallos de infraestructura tuvieron un peso desproporcionado en el segundo, según las cifras divulgadas por Hacken.

Cuatro ataques de gran escala y respuestas distintas

El caso de Liquid Network tuvo una recuperación excepcional frente al monto inicialmente comprometido. Tras el exploit de USD $320 millones, personas que se identificaron como hackers éticos devolvieron USD $272 millones, una suma equivalente a cerca del 85% del valor robado; aun con ese retorno, el caso figura entre los cuatro mayores incidentes del trimestre por su pérdida bruta inicial.

En Tectonic, el mecanismo de respuesta fue diferente: validadores de Cronos revirtieron 114 minutos del historial consolidado de la blockchain. Esa acción deshizo alrededor de USD $111,2 millones de los USD $120,4 millones en préstamos afectados, según el reporte, y redujo el impacto asociado al incidente mediante una reversión de actividad registrada en la red. Diariobitcoin informó que la reversión descartó 10.961 bloques en su artículo Cronos no recupera USD $9,19 millones tras exploit de Tectonic y reversión de la cadena.

La respuesta al ataque de Bitget combinó medidas de contención y compensación. Circle y Tether congelaron unos USD $340.000 vinculados al robo, mientras que el fondo de protección de usuarios de Bitget cubrió USD $387 millones; por separado, Triple-A, Coinsbuy y TAC reembolsaron cerca de USD $22 millones a sus usuarios.

Estas cifras describen acciones diferentes y no deben confundirse con la recuperación de los activos robados. Una devolución o una reversión puede hacer que los fondos vuelvan a su origen o que una operación quede deshecha; una compensación con recursos propios, en cambio, cubre el perjuicio de los usuarios aunque los activos sustraídos permanezcan en poder de los atacantes.

Recuperaciones parciales y recomendaciones de seguridad

En total, USD $387 millones fueron devueltos o revertidos después de los hackeos, aproximadamente el 33% de las pérdidas brutas reportadas. Además, los operadores cubrieron otros USD $410 millones con fondos propios: la mayor parte correspondió a Bitget, y el resto incluyó los reembolsos de Triple-A, Coinsbuy y TAC, que sumaron alrededor de USD $22 millones.

El balance todavía dejó USD $384 millones, cerca del 32% de las pérdidas brutas, sin devolución ni cobertura, de acuerdo con el informe. La diferencia entre ese monto y la suma de las pérdidas totales menos las recuperaciones y compensaciones refleja cifras reportadas de manera aproximada; por ello, los porcentajes y cantidades del reporte deben leerse como estimaciones redondeadas y no como una conciliación exacta al dólar.

La compañía de seguridad recomendó reforzar la protección de proveedores externos, herramientas de desarrollo y otras infraestructuras que pueden quedar fuera de las auditorías habituales. También planteó ampliar las revisiones de los protocolos para incluir oráculos, puentes, sistemas de custodia, autoridades de firma y otros componentes privilegiados, cuya exposición puede afectar operaciones aunque el contrato principal haya sido revisado.

La serie de incidentes muestra que la evaluación de riesgos no termina al comprobar el código de un contrato inteligente. Los equipos también deben considerar qué herramientas y servicios conectados pueden intervenir en la ejecución, la custodia o la autorización de operaciones, pues una falla en esos elementos puede derivar en pérdidas que superen ampliamente las de muchos ataques individuales.

El tercer trimestre reunió casos con desenlaces distintos: en algunos hubo devolución, en otros una reversión técnica y, en el de Bitget, una cobertura financiera para los usuarios. Esa variedad obliga a separar la recuperación de activos del reembolso de afectados y refuerza el llamado de Hacken a revisar las dependencias externas junto con los componentes centrales de cada protocolo.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados