Por Canuto  

Los hackers se llevaron USD $939,86 millones en 135 exploits durante la primera mitad de 2026. Lo más alarmante: el 94,4% de los fondos robados de protocolos auditados salieron por código o infraestructura que los auditores nunca examinaron, como claves privadas comprometidas y puentes entre cadenas.
***

  • Según la firma de seguridad ack3, los ciberdelincuentes realizaron 135 exploits entre enero y junio de 2026, robando USD $939,86 millones.
  • El 94,4% de las pérdidas en proyectos auditados se produjo a través de vectores fuera del alcance de la auditoría, como claves de administrador y configuraciones de infraestructura.
  • Los dos mayores robos — Kelp DAO y Drift — suman USD $577 millones y no fueron errores de código, sino compromiso de claves y manipulación social.
  • Las auditorías tradicionales quedan obsoletas: el 85% de las revisiones relevantes tenían al menos seis meses de antigüedad al momento del ataque.

Los inversores en criptomonedas perdieron casi mil millones de dólares en los primeros seis meses de 2026, y la principal manta de confort de la industria — las auditorías de contratos inteligentes — no sirvió para impedirlo.

La firma de investigación de seguridad ack3 verificó 135 explotaciones entre enero y junio, con pérdidas atribuidas de USD $939,86 millones. Eso representa un promedio de USD $6,96 millones por evento.

La firma publicó su conjunto completo de incidentes de manera abierta, por lo que cada número puede verificarse línea por línea.

La estadística que debería inquietar a cada tenedor minorista es contundente: el 94,4% del dinero robado de proyectos auditados salió a través de código o infraestructura que los auditores nunca examinaron.

La marca verde cubría la puerta principal; los ladrones entraron por la zona de carga.

Los mega robos que las auditorías pasaron por alto

Dos mega robos representan la mayor parte de la carnicería, y ninguno fue un error que un auditor pasara por alto.

El rsETH de Kelp DAO hemorragió USD $292 millones en abril después de que los atacantes falsificaran un mensaje cross-chain de LayerZero al comprometer el único verificador de mensajes del protocolo: un único punto de control, sin respaldo.

Dos semanas antes, el gigante de perps de Solana, Drift, perdió USD $285 millones cuando operativos — relacionados por investigadores con Corea del Norte — pasaron meses ingenierizando socialmente su camino hacia las claves de administrador.

Entre ambos, representan USD $577 millones, aproximadamente el 61% de todo lo robado en la primera mitad del año.

No son matemáticas rotas; son claves rotas y confianza rota.

El patrón se repite en el libro mayor. Step Finance perdió USD $40 millones, Humanity Protocol USD $32 millones y el stablecoin USR de Resolv USD $24,5 millones.

Todos fueron drenados a través de claves privadas comprometidas e infraestructura de firma, no de contratos inteligentes.

Los puentes cross-chain fueron otro campo de muerte: Verus perdió USD $11,5 millones, Syscoin USD $8 millones y Taiko USD $1,7 millones.

No había ningún lugar seguro, ni siquiera las plataformas de alto perfil.

Polymarket fue golpeado dos veces: un drenaje interno de wallet de USD $700.000 en mayo y luego un ataque a la cadena de suministro de USD $3,1 millones en junio que convirtió su propio sitio web en un drenador de wallets.

CoW Swap tuvo su dominio secuestrado.

Y en la entrada más poética del semestre, el temido bot MEV jaredfromsubway.eth, que pasó años cosechando a los traders minoristas, fue despojado por un token honeypot por USD $7,5 millones.

El patrón: claves privadas e infraestructura, no contratos

La conclusión tras analizar los datos es que los atacantes ya no se centran en explotar errores de programación en el código de los contratos inteligentes.

Se dirigen directamente a los componentes más vulnerables del sistema: las claves privadas, los servidores, los endpoints y las configuraciones de infraestructura.

Un atacante no necesita encontrar un desbordamiento de enteros si puede simplemente robar la clave de administrador con una campaña de phishing bien orquestada.

Los casos de Kelp DAO y Drift demuestran que la ingeniería social y la manipulación de componentes internos como los verificadores de mensajes son rentables.

Incluso el grupo no auditado no se quedó atrás en desastres.

Truebit soltó USD $26,4 millones a causa de un error de desbordamiento de enteros en su precio de mint, un fallo que un auditor competente habría detectado.

Pero sorprendentemente, los proyectos auditados fueron más afectados por factores externos que por errores internos.

Un análisis de ack3 revela que solo el 5,6% de las pérdidas en proyectos auditados provino de vulnerabilidades en el código revisado.

El resto fue a través de claves, interfaces, dominios y otros vectores que no forman parte de una revisión típica de contratos.

Las auditorías llegan tarde y no cubren todo

La efectividad de las auditorías se ve aún más comprometida por el factor tiempo.

En las raras ocasiones en que los auditores revisaron el código explotado, los informes eran en su mayoría obsoletos.

De las 20 auditorías más cercanas a los ataques, 17 tenían al menos seis meses de antigüedad cuando el exploit ocurrió.

Los proyectos cambian rápido: se añaden funciones, se integran nuevos protocolos, se actualizan dependencias.

Una auditoría realizada hace un año difícilmente puede garantizar la seguridad del código actual.

Josef Gattermayer, fundador y CEO de ack3, explicó en un comunicado: “Nuestra investigación muestra que los proyectos auditados perdieron USD $681 millones a través de rutas de ataque fuera del alcance de auditoría identificado, lo que representa el 94% de sus pérdidas”.

Gattermayer añadió: “Las revisiones de contratos inteligentes siguen siendo esenciales, pero la IA facilita encontrar debilidades en las integraciones y combinarlas en ataques entre componentes, por lo que las revisiones de seguridad ahora deben cubrir todo el sistema”.

La llegada de herramientas de inteligencia artificial está cambiando el panorama de la ciberseguridad.

Los atacantes pueden usar IA para analizar rápidamente miles de líneas de código, encontrar un punto de entrada fuera del alcance de la auditoría y combinarlo con otras vulnerabilidades para crear un vector de ataque complejo.

Las auditorías tradicionales, que se centran en el contrato inteligente aislado, ya no son suficientes en un ecosistema interconectado.

Se necesitan revisiones holísticas que abarquen también los servidores, las claves, la lógica de negocio y las integraciones.

¿Qué deben hacer los inversores?

La conclusión es brutal en su simplicidad: “auditado” se ha convertido en una palabra de marketing que no garantiza la seguridad.

Antes de confiar en un proyecto, los usuarios deben hacerse tres preguntas: ¿qué exactamente fue revisado?, ¿hace cuánto tiempo? y ¿quién controla las claves hoy?

En la primera mitad de 2026, las respuestas honestas fueron demasiado a menudo: no esta parte, hace más de un año y una clave comprometida por un desastre.

Los auditores pueden leer cada línea del código, pero no pueden leer la mente del desarrollador cuando hace clic en un enlace de “recursos humanos”.

Mientras el ecosistema cripto siga priorizando la velocidad de desarrollo sobre la seguridad integral, los ataques masivos continuarán.

La industria necesita una evolución: pasar de auditorías puntuales a un monitoreo continuo, pruebas de penetración completas y una gestión rigurosa de claves.

Solo así se podrá reducir el impacto de los exploits que aprovechan la periferia de los sistemas.

Este artículo fue basado en un reportaje publicado originalmente por Ahmed Barakat en Cryptonews, y reproducido en Yahoo Finance.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados