En los primeros seis meses de 2026, la industria cripto perdió $939.86 millones en 135 incidentes de seguridad verificados. A primera vista, la explicación puede parecer directa: los proyectos siguen desplegando código no revisado en mainnet, exponiendo las tesorerías de los protocolos a exploits conocidos.

Sin embargo, los datos apuntan a un panorama más preocupante.

Más de la mitad de los proyectos explotados, que representaban más de $721 millones en pérdidas, habían completado auditorías de seguridad. Aun así, en el 94.4% de esos casos, el exploit no se originó en un bug de reentrancy pasado por alto en un smart contract revisado. En cambio, los atacantes avanzaron por áreas que los auditores no examinaron:

• Claves privadas comprometidas
• Scripts de front-end secuestrados
• Infraestructura en la nube con filtraciones
• Relayers off-chain no revisados

Estos hallazgos provienen de un informe integral de seguridad de H1 2026 publicado por ack3, una firma de ciberseguridad nativa de IA antes conocida como Ackee Blockchain Security. Desde 2021, ack3 dice haber completado 237 revisiones de protocolos y haber observado cómo el límite de seguridad se expandía más allá de archivos Solidity aislados hasta arquitecturas completas de protocolo. En respuesta, la firma combina revisión manual, fuzzing basado en Wake, modelado de amenazas off-chain y análisis propios con IA diseñados para mapear dependencias entre componentes.

El informe pone de relieve una debilidad central en la forma en que Web3 evalúa el riesgo: la industria suele tratar “auditado” como un estado binario permanente, mientras que los atacantes ven las arquitecturas de protocolo como servicios web interconectados y en constante cambio.

“Una auditoría es una marca de tiempo y un límite, no una garantía de por vida”, dice Josef Gattermayer, fundador de ack3. “La pregunta antigua era: ‘¿Fue auditado?’. Las preguntas útiles son: ‘¿Qué exactamente fue auditado, cuándo y qué ha cambiado desde entonces?’. Un informe de contrato no puede proteger una clave de firma filtrada, un front-end comprometido o una implementación heredada que ya no coincide con el código revisado.”

El panorama de pérdidas de H1 2026

Durante la primera mitad de 2026, el ecosistema de seguridad de Web3 registró 135 incidentes de seguridad verificados, drenando $939.86 millones de protocolos descentralizados y sus usuarios. Cada exploit del conjunto de datos de ack3 cumplió un estricto estándar de verificación de dos fuentes, cubriendo brechas tanto on-chain como off-chain.

Cuando los incidentes se agrupan por su historial de auditoría, la distribución parece relativamente equilibrada:

• Víctimas auditadas: 68 incidentes (50.4%) afectaron proyectos que contaban con al menos una revisión de seguridad completada y verificable públicamente antes del ataque.
• Víctimas no auditadas: 35 incidentes (25.9%) afectaron protocolos que no habían pasado por revisiones formales de seguridad de terceros.
• Estado de auditoría desconocido: 32 incidentes (23.7%) involucraron proyectos cuyo historial de auditoría no pudo confirmarse al cierre del conjunto de datos.

La ilusión de la auditoría

Al principio, las cifras podrían sugerir que las revisiones de seguridad ofrecen solo una protección limitada. Pero cuando los incidentes se miden por el daño financiero y no por la cantidad, la escala del problema se vuelve más clara.

Los protocolos auditados representaron $721.24 millones de los $939.86 millones perdidos en H1 2026, es decir, el 76.7% de todo el capital robado. Los proyectos no auditados y aquellos con historial de auditoría desconocido sumaron $218.62 millones.

Esta brecha expone lo que ack3 denomina la ilusión de la auditoría. El capital tiende a fluir hacia los proyectos que muestran distintivos de seguridad. Los asignadores institucionales, los yield farmers y los traders minoristas suelen tratar un informe de auditoría como una señal de aprobación, canalizando liquidez hacia protocolos con una postura de seguridad pulida.

Ese patrón crea una paradoja: las auditorías atraen capital, y el capital convierte a los protocolos auditados en objetivos de mayor valor. Aunque una revisión cuidadosa del código puede disuadir a atacantes oportunistas que buscan fallas obvias en Solidity, los actores de amenazas más sofisticados no se detienen ante el distintivo de auditoría. En cambio, trasladan su atención desde los smart contracts revisados hacia la infraestructura circundante que permanece sin supervisar.

Como mostró H1 2026, los atacantes ya no intentan derribar la puerta principal del código auditado. Están entrando por las puertas laterales que nunca fueron revisadas.

La brecha de alcance: donde desaparecieron $680 millones

Uno de los conceptos erróneos más peligrosos en la seguridad de Web3 es equiparar una auditoría de smart contracts con protección de todo el sistema. En la práctica, una auditoría suele cubrir un hash de commit específico y un conjunto definido de archivos Solidity o Rust. No cubre el entorno de despliegue, las estaciones de trabajo de desarrollo, la infraestructura en la nube, los registros DNS ni las claves privadas utilizadas para administrar los parámetros del protocolo.

La investigación de ack3 muestra que esa diferencia —la “brecha de alcance”— es donde desaparece casi todo el capital robado. De los 68 protocolos auditados comprometidos en H1 2026, 46 fueron atacados mediante vectores completamente fuera del alcance de sus auditorías publicadas. Esos 46 incidentes causaron $680.97 millones en pérdidas, lo que representa el 94.4% del daño financiero sufrido por las víctimas auditadas.

Brecha entre cantidad y valor

La disparidad se vuelve aún más evidente al comparar la cantidad de incidentes con las pérdidas reales en dólares.

Los incidentes en los que la ruta del exploit se ubicó dentro del código auditado representaron 20 de las 68 brechas en protocolos auditados, o alrededor del 29.4% por cantidad. Pero esos 20 exploits dentro del alcance generaron solo $35.21 millones en pérdidas, apenas el 4.9% de las pérdidas totales de los auditados.

La implicación es contundente. Las auditorías tradicionales de código parecen estar haciendo un trabajo razonable al detectar bugs catastróficos en smart contracts, manteniendo las pérdidas dentro del alcance por debajo del 5% del total. El problema mayor está en otra parte: los equipos de protocolo están dejando abierta la puerta trasera y perdiendo el restante 94.4% por brechas de infraestructura y operación.

Anatomía de la superficie de ataque moderna

Los atacantes han reconocido que los smart contracts suelen ser la parte más fuerte de la cadena, por lo que cada vez apuntan más a la superficie operativa alrededor del código.

ack3 identificó cuatro vectores operativos recurrentes detrás de las drenajes fuera de alcance:

Claves privadas y autoridades de firma comprometidas: Las claves administrativas, los firmantes multisig y las hot wallets operativas siguen siendo la ruta más rápida hacia un drenaje total. Una vez que una autoridad de firma es comprometida mediante phishing o una mala gestión de claves, el atacante puede actualizar contratos, modificar parámetros o activar acuñaciones de emergencia usando funciones legítimas del protocolo y eludir por completo las verificaciones de lógica on-chain.

Inyecciones de scripts de front-end y secuestro DNS: En lugar de atacar la lógica on-chain, los atacantes comprometen la interfaz en la que confían los usuarios. Al tomar control de registros DNS o inyectar JavaScript malicioso mediante dependencias web de terceros, pueden reemplazar direcciones objetivo o engañar a los usuarios para que aprueben gastos a favor de actores maliciosos mientras interactúan con una UI aparentemente legítima.

Pipelines de CI/CD y credenciales de infraestructura en la nube: Las rutas de ataque se canalizan cada vez más a través de GitHub Actions, variables de entorno en la nube y pipelines de compilación. Secretos codificados o claves API filtradas pueden permitir a los atacantes manipular artefactos de compilación o acceder a activos de infraestructura antes de que el código llegue a la blockchain.

Provers, relayers e infraestructura cross-chain fuera de revisión: Los protocolos DeFi modernos dependen en gran medida de sistemas off-chain, incluidos provers, oracle relayers, sequencers de zero-knowledge y puentes de mensajería cross-chain. Estos servicios complejos quedan fuera de las auditorías estándar de contratos, pero determinan las entradas que activan la ejecución on-chain. Cuando un relayer o un prover falla, el smart contract simplemente procesa la actualización de estado incorrecta según lo instruido.

Garantía en un punto del tiempo y el problema del envejecimiento

Incluso cuando un exploit afecta código que estaba explícitamente dentro del alcance de una auditoría, los datos de ack3 apuntan a otra debilidad en las prácticas de seguridad de Web3: la degradación de la garantía.

Un informe de auditoría no es un escudo continuo; es una instantánea estática de un sistema en un único momento. Sin embargo, los protocolos suelen presentar informes en PDF de dos años de antigüedad como si fueran prueba de seguridad actual. La investigación de ack3 demuestra que, con el paso del tiempo, el valor protector de una revisión histórica se degrada de forma constante, incluso si la lógica del smart contract subyacente no cambia.

La tasa de degradación de la seguridad

Entre los 20 incidentes en los que la ruta del ataque cayó directamente dentro del alcance auditado de un protocolo, 17 ocurrieron al menos seis meses después de la auditoría más relevante. El tiempo mediano transcurrido entre la fecha de la auditoría y el exploit fue de 18 meses, con intervalos que variaron desde tres meses hasta 56 meses.

Solo tres protocolos sufrieron exploits dentro del alcance en un plazo de seis meses desde recibir un informe de auditoría. La gran mayoría de las fallas dentro del alcance ocurrieron mucho después de la revisión original:

• Menos de 6 meses: 3 incidentes (15% de los casos dentro de alcance)
• 6 a 24 meses: 9 incidentes (45%)
• 24 meses o más: 8 incidentes (40%)

Esta distribución subraya una conclusión evidente: la relevancia de un informe de auditoría se degrada con rapidez en un ecosistema que cambia a gran velocidad. Aunque la antigüedad por sí sola no causa un bug en un smart contract, sí mide cuánto tiempo el código permanece expuesto mientras todo a su alrededor cambia. Por eso es importante que los protocolos cripto realicen múltiples auditorías con frecuencia y no dependan de una auditoría de hace dos años.

IA como multiplicador de ataques y el cambio hacia la garantía viva

Las herramientas especializadas de IA han alterado de forma permanente la velocidad y la escala de la investigación de seguridad. Aunque el conjunto de datos de H1 2026 de ack3 no atribuye ningún incidente específico a agentes autónomos de IA, sí destaca un cambio en el panorama de amenazas: los atacantes están usando IA como un multiplicador operativo.

El nuevo realismo de la amenaza

Encontrar un bug complejo de reentrancy en un contrato Solidity muy revisado requiere tiempo y experiencia considerables. Encontrar una clave expuesta de un enclave en un repositorio off-chain no indexado o identificar un script de terceros no fijado en un pipeline de compilación de front-end solía requerir una ardua labor de reconocimiento manual.

Los modelos de IA han reducido ese costo temporal prácticamente a cero.

Los atacantes ya no se quedan observando una lógica de smart contract aislada. En cambio, aprovechan herramientas de IA para ingerir ecosistemas completos de protocolos con velocidad sobrehumana, mapear relaciones entre repositorios, seguir flujos de parámetros desde off-chain hacia on-chain y examinar las costuras entre la infraestructura en la nube, las redes de entrega de front-end y los smart contracts.

Con benchmarks como EVMbench midiendo activamente a agentes de IA en detección de vulnerabilidades, parcheo automatizado y síntesis de exploits, la ventaja asimétrica pertenece a quien analice más superficie y más rápido. Si los defensores limitan su visión a un directorio de smart contracts, los atacantes con IA encontrarán de forma rutinaria antes las vulnerabilidades operativas circundantes.

Sustituir el artefacto PDF

La costumbre de la industria de tratar un informe de auditoría en PDF como una credencial de seguridad permanente es ahora un riesgo existencial. Un documento estático no puede alertar a un equipo cuando un desarrollador sube un secreto de API a un repositorio público, ni puede evaluar cómo se comporta un contrato después de que un pool de liquidez upstream cambia su estructura de comisiones.

Para sobrevivir en un ecosistema donde los vectores de ataque cruzan fronteras entre componentes a velocidades impulsadas por IA, los protocolos deben pasar de revisiones puntuales a una garantía viva. ack3 describe tres pilares centrales para esa transición:

• Los defensores deben reemplazar las listas estáticas de contratos por un registro activo y en tiempo real de toda la superficie del sistema. Esto implica catalogar de forma continua:

  • Despliegues de smart contracts on-chain y direcciones proxy
  • Infraestructura off-chain, relayers, provers y pipelines de oráculos
  • Roles administrativos, firmantes multisig y esquemas de gestión de claves
  • Dependencias web, CDNs y pipelines de compilación de front-end

• La garantía no debe renovarse en un calendario anual rígido, ni debe asumirse permanente. Los protocolos necesitan disparadores operativos explícitos que marquen de inmediato código o infraestructura para una nueva auditoría dirigida, incluyendo:

  • Despliegue de nuevas implementaciones proxy o actualizaciones de parámetros
  • Rotación de claves, transferencias de roles administrativos o cambios en umbrales multisig
  • Integración de nuevos puentes cross-chain, feeds de oráculos o protocolos de liquidez upstream
  • Descubrimiento de nuevas clases de ataque o vectores de exploit en protocolos pares

• El análisis automatizado y la experiencia humana deben operar en conjunto antes y después del despliegue en mainnet. Los escáneres de IA automatizados y los motores de fuzzing basados en Wake son adecuados para búsquedas amplias, trazado de dependencias entre componentes, detección de cambios de lógica y monitoreo de infraestructura en vivo en busca de cambios de estado inesperados. Luego, los ingenieros de seguridad humanos verifican la explotabilidad, evalúan modelos económicos de amenaza y validan la lógica de negocio.

El objetivo no es eliminar las auditorías, sino lograr que la garantía avance al ritmo de los cambios del sistema. En ese modelo, la etiqueta binaria “auditado” se convierte en lo que siempre debió ser: un proceso continuo y no un distintivo estático.

Conclusión: replantear la postura de seguridad en Web3

Los $940 millones perdidos en H1 2026 dejan una conclusión clara: tratar una auditoría histórica de un punto en el tiempo como una luz verde permanente es negligencia operativa. Los smart contracts no existen en un vacío. Una auditoría que cubre archivos Solidity pero ignora dependencias de front-end, claves administrativas de firma, infraestructura en la nube y provers off-chain no constituye una garantía de seguridad completa.

A medida que la asignación de capital en Web3 madura, la evaluación del riesgo se está desplazando desde revisiones puntuales hacia el monitoreo de todo el sistema. El futuro de la seguridad en Web3 pertenece a los equipos que tratan la garantía como una disciplina operativa activa. Aquellos que sigan confiando en informes PDF estáticos simplemente permanecerán como los objetivos de mayor valor sobre el tablero.