Agosto de 2026 prolongó el patrón que ha definido la seguridad cripto durante todo el año: incidentes frecuentes, vectores de ataque diversos y pérdidas que, aunque significativas por evento, sumaron un mes fragmentado más que catastrófico. Según TRM Labs, solo en la primera mitad de 2026 se robaron aproximadamente $972 million en 207 incidentes, un récord histórico de frecuencia de hackeos, aunque las pérdidas agregadas cayeron desde el pico de 2025. Las vulnerabilidades de contratos inteligentes siguieron siendo el vector de ataque más común, mientras que la compromisión de claves privadas y las brechas de infraestructura explicaron muchas de las mayores pérdidas individuales.

Los incidentes documentados en agosto abarcan al menos ocho protocolos y proveedores de infraestructura, con pérdidas confirmadas por evento de entre $1.7 million y $8.5 million. En conjunto, exponen tres modos de fallo persistentes: mecanismos de gobernanza y autorización convertidos en vectores de ataque, bugs en cascada a nivel de protocolo que amenazan la integridad de la cadena, y debilidades en contratos inteligentes e infraestructura cuyas consecuencias van mucho más allá de los balances.

Cuando las reglas se convierten en el vector: exploits de gobernanza y autorización

El incidente más costoso del mes — la pérdida de $8.5 million de Term Finance — no fue un bug de contrato inteligente, sino una falla estructural del diseño de gobernanza. Un atacante acumuló a bajo costo una posición mayoritaria en un token de gobernanza poco distribuido y aprobó propuestas que le otorgaron control sobre los strategy vaults del protocolo, drenando aproximadamente 2,843 ETH (valorados en $6.87 million en ese momento) y 1.68 million USDC. Eso equivale a alrededor del 68% de los $12.45 million retenidos en los Meta Vaults de Term y casi todos sus depósitos en Ethereum.

PeckShield y CertiK confirmaron de forma independiente la estimación de la pérdida. Yearn Finance, cuya infraestructura V3 utilizaban los vaults, aclaró que el ataque explotó un wrapper de gobernanza personalizado y no afecta las configuraciones estándar de Yearn vaults. Term Labs respondió cerrando de forma permanente todos los Meta Vaults, revocando los roles de gobernanza de la DAO, preservando los retiros y coordinando con equipos externos de seguridad para la recuperación de activos. La gravedad se ve reforzada por el contexto institucional: Term había prometido transparencia en la gobernanza y validación de terceros para actualizaciones críticas tras un error de oráculo en abril de 2025 que provocó aproximadamente 918 ETH en liquidaciones no intencionadas.

Los ataques de toma de control de gobernanza de este tipo tienen precedentes bien documentados. Beanstalk perdió unos $182 million en abril de 2022 cuando un atacante usó un flash loan para adquirir la mayoría de sus tokens de gobernanza y aprobar una propuesta autoejecutable, y la DAO de Tornado Cash fue tomada en 2023 mediante una propuesta maliciosa de costo similarmente bajo. La pérdida de Term muestra que esta clase de fallo persiste incluso en un protocolo que había asumido públicamente una supervisión de gobernanza más estricta.

El exploit de $3 million de BounceBit siguió una vía relacionada, pero mecánicamente distinta. Una falla de autorización en la pila blockchain de Evmos — base de la Layer 1 de BounceBit — permitió que quien llamara a un contrato inteligente designara una cuenta distinta como origen de la transacción sin ninguna verificación criptográfica. Durante dos días, el atacante movió aproximadamente 286.5 million BB tokens entre nueve wallets sin comprometer una sola clave privada ni un dispositivo de wallet. Como Evmos había sido discontinuado desde mayo, BounceBit eligió el retiro permanente de la cadena en lugar de remediarla; anunció que reemitiría BB como un token BEP-20 en BNB Chain usando un snapshot previo al ataque y que coordinaría con los exchanges para restaurar los saldos afectados de los clientes.

Ambos casos reflejan un cambio bien documentado en la industria: casi el 44% de las pérdidas de H1 2026 provinieron de fallas operativas y de seguridad de infraestructura en lugar de bugs de contratos inteligentes, y la compromisión de wallets se ha convertido en el vector de ataque más costoso, con atacantes que apuntan a la gestión de claves y a la gobernanza multisig. Los exploits de gobernanza de agosto encajan de lleno en esa trayectoria.

Fallas en cascada: bugs a nivel de protocolo y crisis de integridad de la cadena

Varios incidentes de agosto fueron más allá de la pérdida financiera y amenazaron la integridad del estado confirmado de la blockchain — un resultado más grave que pone las transacciones ya asentadas en riesgo de reversión y erosiona la confianza fundamental en una red. MAYAChain, un DEX cross-chain construido a partir del código abierto de THORChain, detuvo su red el 19 de agosto después de que una transacción de 23 mensajes explotara seis bugs de software encadenados que abarcaban cuentas de trading, manejo de transacciones salientes y cálculos de liquidez. El atacante finalmente retiró 48.87 million CACAO tokens del Asgard vault del protocolo. Las pérdidas directas fueron de aproximadamente $1.7 million en Bitcoin y otros activos; la erosión total del valor del pool, agravada por una caída del 88.7% de CACAO durante el incidente, alcanzó un estimado de $10.9 million. El equipo contactó al atacante mediante un mensaje OP_RETURN en Bitcoin, inició un proceso de bug bounty y prometió aportes personales para la recuperación.

Harmony anunció un rollback al 11 de agosto después de que se acuñaran y distribuyeran a exchanges tokens ONE no autorizados — una corrección que descartaría más de 109,000 transacciones normales y 315 transacciones de staking. Se consideró que la restauración selectiva era técnicamente insegura dada la interdependencia de balances, nonces y estados de contratos durante la ventana afectada.

Ravencoin enfrentó una crisis paralela cuando una vulnerabilidad de consenso hizo que los nodos aceptaran bloques inválidos desde la altura 4,487,776 en adelante, lo que llevó a los pools de minería que controlaban la mayoría del hash rate de la red a construir una cadena competidora. Una reorganización exitosa podría revertir aproximadamente tres días de transacciones confirmadas; Upbit y Bitget suspendieron las transferencias de RVN en respuesta.

MANTRA, una blockchain enfocada en activos del mundo real tokenizados, detuvo la producción de bloques el 21 de agosto después de que un atacante explotara una vulnerabilidad en una dependencia externa upstream — software desarrollado fuera del propio protocolo. Su token cayó un 18.5% hasta un mínimo histórico antes de la pausa, y los validadores permanecieron desconectados a la espera de una versión parcheada coordinada y de que aún se completara una evaluación total de pérdidas.

Contratos inteligentes, infraestructura y la superficie de ataque ampliada

Agosto también produjo incidentes notables en las capas de contratos inteligentes y cadena de suministro, reforzando que el riesgo de seguridad cripto ahora abarca toda la pila operativa. The Sandbox deshabilitó el bridging en Base y BNB Smart Chain después de que un atacante secuestrara permisos de delegado de LayerZero mediante una función approveAndCall para acuñar tokens SAND sin respaldo.

Aunque el valor facial nominal fue de aproximadamente $49 billion — calculado aplicando el precio de mercado a tokens que superaban ampliamente la liquidez disponible — la oferta realmente afectada se confirmó en menos del 0.01% del total de 3 billion tokens de SAND; SAND en Ethereum y Polygon permaneció sin afectarse. BTCPay Server reveló una vulnerabilidad crítica, activamente explotada, que afectaba su infraestructura de pagos de Bitcoin autoalojada, y urgió a los usuarios a actualizar a la versión 2.4.2 o a desconectar los servidores de inmediato, aunque las pérdidas confirmadas no han sido cuantificadas. Por separado, Trezor informó que su socio de cumplimiento ShipMonk sufrió acceso no autorizado, exponiendo nombres, direcciones de correo electrónico, números de teléfono y direcciones de envío de aproximadamente 14,000 clientes en siete países. No se comprometió firmware de dispositivos ni fondos on-chain, pero el incidente pone de relieve la dimensión física del riesgo: los ataques de coerción presencial han causado pérdidas estimadas en $30 million en H1 2026, y las invasiones domiciliarias representan ahora el 37% de los incidentes.

En conjunto, los incidentes de agosto confirman que el panorama de vulnerabilidades de la industria es cada vez más amplio y diverso. Los atacantes ya no se limitan a explotar la lógica de los contratos inteligentes; operan a través de mecanismos de gobernanza, dependencias de protocolo, capas de consenso y proveedores logísticos de terceros. Una mitigación eficaz del riesgo exige cada vez más marcos de seguridad que contemplen simultáneamente todas estas superficies.