Crypto Long & Short: Lo que realmente nos dicen los hackeos cripto de $972 millones de este año sobre la seguridad

La mayor parte del cripto robado en 2026 está saliendo por claves comprometidas, firmantes y mecanismos de gobernanza, y no por errores en contratos inteligentes, escribe Mitchell Amador, fundador y CEO de Immunefi. Explica por qué "we were audited" nunca fue equivalente a "we are safe."

Lo que realmente nos dicen los números de hackeos cripto del primer semestre sobre la seguridad

Por Mitchell Amador, fundador y CEO de Immunefi

Este mes, un atacante gastó aproximadamente $4 millones para drenar alrededor de $20 millones de la tesorería de BonkDAO. No falló ningún contrato inteligente. El atacante adquirió suficientes tokens para aprobar una propuesta de gobernanza en una votación con baja participación, y la votación se ejecutó exactamente como estaba escrita. Las reglas mismas constituían la vulnerabilidad.

Un escenario similar se repitió en junio desde otro ángulo. La mayor pérdida de ese mes —más de $30 millones en Humanity Protocol— provino de una clave privada comprometida en la máquina de un miembro del equipo, con el contrato intacto, según el propio proyecto.

Estos incidentes ilustran la forma de las peores pérdidas de 2026, con cripto perdiendo aproximadamente $972 millones hasta ahora este año. El número de incidentes sigue aumentando, y los fondos salen cada vez más por algo distinto a un fallo del contrato: una clave de firma robada, un verificador mal configurado o una tesorería a la que cualquiera puede entrar votando. Si uno se fija solo en la cantidad de incidentes, podría pensar que la industria está perdiendo terreno. Pero al revisar cuánto se ha robado realmente en total, aparece un patrón más estrecho y más incómodo.

Podemos ser precisos al respecto. Entre los 425 hackeos que estudiamos de 2021 a 2025, una pequeña parte de las fallas operativas concentra la mayor parte del valor perdido. En el período de 2024 a 2025, 54.6% de todo el valor perdido, en 191 hackeos, puede rastrearse a compromisos de exchanges centralizados: las claves, la custodia y la firma que se sitúan por encima del contrato.

Sin embargo, nada de esto significa que la capa de código esté resuelta. Los críticos aparecen por todas partes en el código en producción. 93.9% de los programas que operan cinco años o más terminan mostrando un crítico confirmado, y aproximadamente uno de cada cinco reportes confirmados se clasifica como crítico. Tampoco el código está nunca terminado. Cada actualización incorpora nueva superficie de ataque. Lo que ha cambiado es que la revisión continua e incentivada ahora acompasa a los atacantes en ese código, y precisamente por eso el mismo modelo debe extenderse más allá.

Aquí es donde el manual estándar se queda corto. Una auditoría verifica el código en un momento determinado. No dice nada sobre quién tiene la autoridad de firma, cómo se almacena una clave o qué ocurre cuando se compromete una computadora portátil. Las auditorías son esenciales y todo equipo serio debería realizarlas, pero "we were audited" nunca fue lo mismo que "we are safe." Un protocolo fue auditado 11 veces y aun así perdió $128 millones.

Lo que realmente ha endurecido el código de los contratos es la presión continua e incentivada. A través de programas de bug bounty en vivo y una pila más amplia de monitoreo y respuesta rápida, se paga a los investigadores de seguridad para encontrar la vulnerabilidad antes que un atacante. Un bounty mediano de alrededor de $20,000 evita de forma rutinaria un hackeo que promediaría cerca de $25 millones, lo que convierte ese pago en el gasto de seguridad con mayor retorno de inversión que un protocolo puede hacer. El modelo funciona porque nunca se detiene y porque los incentivos no se degradan cuando cambia el organigrama o se marcha un firmante.

Esa misma disciplina ahora tiene que cubrir las claves, los firmantes y las reglas de gobernanza, o seguiremos viendo pérdidas catastróficas en esta área.

Entonces, ¿una auditoría vuelve seguro a un protocolo? Por sí sola, no. Un protocolo es seguro cuando su código, sus claves, su gente, su gobernanza y su monitoreo se tratan como una superficie de ataque activa, y se prueban de forma continua por investigadores que reciben pago por romperlos primero.

Titulares de la semana

Por Francisco Rodrigues

Los titulares de esta semana muestran cómo la caída del mercado cripto está reconfigurando los balances y la infraestructura de mercado. Strategy levantó efectivo y comenzó a recomprar acciones preferentes, mientras BitMEX y BitMart anunciaron planes de cierre a medida que el mercado bajista hace mella.

Strategy aumenta su reserva de efectivo a $3.75 mil millones y recompra $25 millones de STRC: La firma recaudó $544.5 millones mediante ventas de acciones ordinarias y usó una parte para recomprar 288,930 acciones de STRC, manteniendo sin cambios sus 843,775 BTC.

BitMEX, el exchange que inventó los perpetual swaps, cerrará: El exchange de derivados cerrará el 23 de septiembre, tras 11 años, después de perder ante competidores centralizados más grandes y plataformas de negociación descentralizadas el mercado que ayudó a crear.

BitMart cerrará tras nueve años mientras el token BMX se desploma: El exchange detendrá las operaciones el 26 de agosto y cesará sus actividades el 31 de enero de 2027, sin dar una razón específica para el cierre.

Revolut alcanza una valuación de $115 mil millones en una venta de acciones para empleados: La transacción secundaria elevó en 53% en menos de un año la valuación del banco digital favorable a las criptomonedas, convirtiéndolo en la empresa privada más valiosa de Europa.

Se espera que el Clarity Act no alcance a aprobarse antes del receso de verano del Congreso: El líder de la mayoría del Senado, John Thune, dijo que era poco probable que el proyecto se aprobara antes del receso, lo que reduce sus posibilidades de convertirse en ley en 2026, mientras los legisladores seguían divididos sobre ética y rendimiento de stablecoins.

Gráfico de la semana

La participación del volumen de long tail en Solana rebota por encima de 60% mientras PUMP se recupera

Los memecoins y otros tokens de long tail ahora representan más de 60% del volumen de Solana, frente al rango alto de los 30% a finales de junio. PUMP ha seguido de cerca la recuperación, con un alza de 42% en lo que va del mes.