Una serie de incidentes de seguridad golpeó a la industria cripto entre julio y principios de octubre, abarcando exchanges, billeteras de hardware, puentes y billeteras de software, según un informe de la firma de análisis on-chain Santiment. El período comprendió varias de las mayores pérdidas del trimestre y ha llevado las preocupaciones de seguridad al centro del debate de la industria, afectando tanto a clientes de exchanges como a usuarios de autocustodia. En ese contexto, el investigador de Ethereum Justin Drake instó a una preparación serena para lo que llamó “modo búnker”, citando los avances en matemática asistida por IA que algún día podrían amenazar la criptografía de curvas elípticas, el sistema que protege a Bitcoin y Ethereum.

Santiment destacó el cambio en el sentimiento en una publicación en X el 9 de octubre:

🔐 Crypto fear is no longer just about price. From Coldcard and Trezor to Bitget, and now Ledger, security concerns have shifted due to the emergence of AI. We break down sentiment's shift. 👇 🔗 Surviving the Diminished Trust of Crypto in the Era of AI: pic.twitter.com/mmQ5UikT4V

— Santiment Intelligence (@SantimentData) October 9, 2026

Los incidentes no fueron todos iguales. La criptografía de Bitcoin no ha sido quebrada, y Ledger no ha confirmado una falla a nivel de toda la empresa. Los casos abarcaron desde ataques a exchanges hasta compromisos en la cadena de suministro de fabricantes de billeteras, lo que subraya cuán distintas son las superficies de ataque en toda la industria. Varios de los incidentes ingresaron a de terceros —un proveedor de envíos, un proveedor de correo electrónico, productos de seguridad comprometidos y un revendedor—, lo que le dio al trimestre una marcada dimensión de cadena de suministro.

Incidentes en Exchanges y Puentes

AFX Trade perdió alrededor de 24,15 millones de USDC el 22 de julio, después de que un atacante obtuviera las cinco firmas de validadores necesarias para aprobar un retiro de su puente, convirtiendo el propio proceso de aprobación en la superficie de ataque.

El exploit de Tectonic se produjo el 30 de agosto. Cronos calculó los préstamos afectados en unos 120,4 millones de dólares, y los validadores revirtieron 10.961 bloques —reescribiendo efectivamente la historia reciente de la cadena— para deshacer aproximadamente 111,2 millones de dólares. Unos 9,19 millones de dólares ya habían salido de la red.

El 6 de septiembre, un error en Liquid Network permitió crear unos 4.000 LBTC sin respaldo. Blockstream indicó que su reserva cayó de aproximadamente 4.205 BTC a unos 197 BTC. El atacante devolvió 3.400 BTC después de que se corrigiera el error, pero unos 600 BTC seguían sin recuperar, y Blockstream rechazó una exigencia de recompensa del 10%.

Bitget reportó una violación de seguridad el 24 de septiembre, elevando el total a unos 387,5 millones de dólares, frente a una estimación inicial de 351,6 millones de dólares —un ejemplo de cómo las cifras de pérdidas pueden cambiar en los días posteriores a un ataque. Mandiant y SlowMist rastrearon el ataque hasta productos de seguridad de terceros comprometidos. Bitget afirmó que sus billeteras frías no fueron afectadas y que su fondo de protección cubriría el impacto sobre los usuarios.

Fabricantes de Billeteras Reportan Violaciones

Los problemas de Coldcard comenzaron el 30 de julio. Un error de firmware que databa de marzo de 2021 debilitó la aleatoriedad utilizada para crear las semillas —el material secreto del que se derivan las claves privadas de una billetera—, y TRM Labs estimó que unos 1.816 BTC, con un valor aproximado de 116 millones de dólares, fueron drenados de más de 5.200 direcciones.

El fabricante de billeteras de hardware Trezor reveló una violación en su proveedor de envíos, ShipMonk, en agosto, y luego indicó que unos 67.000 clientes adicionales de EE. UU. fueron afectados porque se habían conservado registros de pedidos antiguos. El 9 de septiembre, Brevo, el proveedor de correo electrónico de Trezor, fue comprometido. Se exportaron unos 347.149 contactos y aproximadamente 2.500 personas hicieron clic en un enlace de phishing. Trezor señaló que sus billeteras no fueron hackeadas.

La App Wallet de D'CENT perdió alrededor de 12,4 millones de XRP en 7.393 billeteras entre el 15 y el 25 de septiembre, y la empresa pidió a los usuarios trasladar sus fondos a nuevas billeteras.

El Debate del “Modo Búnker”

El 7 de octubre, Drake pidió una planificación prudente en torno a los riesgos relacionados con la IA para la criptografía de curvas elípticas, la base matemática de las claves públicas en Bitcoin y Ethereum —una clase de riesgo matemático y de largo plazo que se aparta de las violaciones operativas que dominaron el trimestre. Yehuda Lindell, de Coinbase, respondió que no hay evidencia de que los supuestos subyacentes se hayan debilitado. El intercambio capturó las dos ansiedades distintas que recorren la industria: fallos operativos demostrados y una amenaza a la cript misma que aún no se ha demostrado.

Otros Desarrollos

El 9 de octubre, Tether incluyó temporalmente en su lista negra cuatro direcciones de bóveda de THORChain que custodiaban unos 1,45 millones de dólares en USDT, y luego levantó las restricciones horas después.

También el 9 de octubre, Ledger comenzó a investigar billeteras drenadas entre clientes del sudeste asiático que habían comprado dispositivos al revendedor CryptoBilis. El investigador on-chain Specter estimó pérdidas superiores a los 86 millones de dólares, aunque Ledger no ha confirmado el total. La causa sigue bajo investigación, y se pidió a los compradores recientes que no inicializaran dispositivos sin usar.

En conjunto, la cadena de incidentes —desde exploits en puentes y ataques a exchanges hasta compromisos de proveedores y fallos de firmware— ha convertido a la seguridad en el tema dominante del trimestre, incluso cuando las empresas subrayaron que los supuestos criptográficos fundamentales siguen intactos. Varias cifras siguen siendo provisionales —el total de Bitget ya fue revisado al alza una vez, la estimación de Ledger es un conteo no oficial de terceros y unos 600 BTC del error de Liquid Network siguen sin recuperar—, dejando abierta la contabilidad final del trimestre mientras continúan las investigaciones.