La primera mitad de 2026 fue el período más explotado en la historia de blockchain, según la firma de seguridad onchain Blockaid, que verificó 212 incidentes que totalizaron $1.1 billion en pérdidas. Esa cifra fue 3.4 veces el número de exploits de alto umbral registrados en todo 2025.

Aunque las pérdidas monetarias totales no superaron las cifras de 2025 — en gran medida porque ningún evento igualó la brecha de Bybit de $1.5 billion — el volumen y la sofisticación de los ataques apuntaron a una escalada más amplia en el entorno de amenazas. Para los equipos de protocolos y los proveedores de infraestructura, el informe también muestra que una sola falla de control puede dominar los totales semestrales, mientras que los incidentes de menor valor siguen acumulándose con rapidez cuando los métodos de ataque se extienden a múltiples objetivos.

Las pérdidas estuvieron fuertemente concentradas. Los cuatro mayores incidentes — KelpDAO con $292 million, Drift Protocol con $285 million, Resolv con $80 million y CowSwap con $50.4 million — representaron aproximadamente 64% de todas las pérdidas de la primera mitad. KelpDAO y Drift fueron atribuidos directamente a TraderTraitor, un subgrupo de Lazarus Group de Corea del Norte. Sumando la brecha de Humanity Protocol, atribuida por separado, de $32 million, los actores vinculados a la RPDC fueron responsables de unos $609 million, o 55% del total del período.

Las claves privadas comprometidas surgieron como la causa dominante de pérdidas por un amplio margen. Blockaid señaló que fueron responsables de casi $789 million, o alrededor de 74% del daño de la primera mitad, en unos diez incidentes. Los dos ataques más grandes no comenzaron con una falla de contrato, sino con ingeniería social. Operadores de la RPDC apuntaron a empleados de Drift y KelpDAO mediante manipulación al estilo LinkedIn, logrando finalmente controlar firmantes de multisig e infraestructura de verificación de puentes. En el caso de KelpDAO, los atacantes explotaron una configuración de un solo DVN en el puente LayerZero para falsificar una atestación entre cadenas y drenar $292 million de un escrow en Ethereum.

Puntos ciegos heredados y vectores novedosos amplían la superficie de ataque

Los exploits de código fueron mucho menos costosos en conjunto, con $203 million, pero concentraron la mayoría de los incidentes por recuento, representando casi 80% de todos los casos. El mayor exploit de código fue el acuñado sin respaldo de Resolv por $80 million.

Un patrón menor pero recurrente involucró contratos heredados o descontinuados de los que los equipos ya se habían alejado, pero que no habían sido totalmente desmantelados. Cinco incidentes en mayo y junio — incluidos dos ataques separados al rollup Aztec Connect y un exploit de validación sobre el AMM V3 descontinuado de Raydium — sumaron aproximadamente $5.7 million, lo que subraya que los plazos de migración no son equivalentes a la retirada total de un sistema.

Tres vectores de ataque nuevos aparecieron por primera vez en la primera mitad del año. La delegación de monederos EIP-7702, introducida por un nuevo estándar de Ethereum, fue abusada en cuatro incidentes. Un ataque de inyección de prompts de IA contra el agente Bankr en mayo — el primer caso reportado de su tipo — provocó una pérdida de $216,000 al engañar a un sistema autónomo para autorizar una transacción no autorizada. La infraestructura de prueba de puentes fuera de la cadena también fue blanco por primera vez, con KelpDAO y Taiko comprometidos mediante pruebas falsificadas aceptadas por las cadenas de destino.

Los resultados de recuperación fueron marcadamente asimétricos. Los exploits de código a veces permitieron la recuperación parcial de fondos mediante funciones de pausa de emergencia o coordinación onchain. En contraste, los compromisos de claves tuvieron una recuperación prácticamente nula, con los activos robados normalmente enviados a través de mixers en cuestión de horas. La contención más exitosa del período ocurrió en Stellar, donde la agrupación de monederos en tiempo real de Blockaid permitió a los validadores poner en cuarentena $7.3 million — 73% de un drenaje por manipulación de oracle de $10.2 million — en cuestión de minutos tras el ataque.

The post Crypto Losses Hit $1.1B In First Half Of 2026 As DPRK Actors And New Attack Vectors Drive Record Incident Surge appeared first on Metaverse Post .