Crypto ha perdido unos $972 millones por hacks hasta ahora en 2026, pero el patrón más incómodo es de dónde sale ese dinero. Mitchell Amador, fundador y CEO de Immunefi, sostiene en el Crypto Long & Short de esta semana que la vía de salida dominante ya no está en la capa de contratos inteligentes. Son las claves, los firmantes y las reglas de gobernanza que se sitúan por encima de ella.
El exploit de BonkDAO de este mes es el ejemplo reciente más claro. Un atacante gastó unos $4 millones para acumular suficientes tokens y aprobar una propuesta de gobernanza en una votación con poca participación, y luego vació unos $20 millones de la tesorería. Ningún contrato falló. Las reglas eran la vulnerabilidad. El mismo patrón apareció en junio en Humanity Protocol, donde la mayor pérdida del mes, de más de $30 millones, vino de una clave privada comprometida en la máquina de un miembro del equipo, sin tocar el contrato.
Por qué importa
La revisión de 425 hacks de Immunefi entre 2021 y 2025 pone cifras a ese patrón. En el tramo de 2024 a 2025, el 54,6% de todo el valor perdido en 191 incidentes se rastreó hasta compromisos de exchanges centralizados, es decir, las capas de claves, custodia y firma por encima del contrato. La capa de código tampoco está resuelta: el 93,9% de los programas que llevan cinco años o más muestra una crítica confirmada, y aproximadamente una de cada cinco incidencias confirmadas se califica como crítica. Un protocolo fue auditado once veces y aun así perdió $128 millones.
Impacto en el mercado
Esa misma disciplina ahora también tiene que extenderse a claves, firmantes y gobernanza, o las pérdidas catastróficas en esta categoría seguirán repitiéndose. Para las instituciones que suscriben riesgo de protocolo, la lectura es que un informe de auditoría es infraestructura necesaria, pero no un certificado de riesgo. Un protocolo solo es seguro cuando su código, sus claves, su gente, su gobernanza y su monitorización se tratan como una superficie de ataque viva, y se ponen a prueba de forma continua por investigadores a los que se paga para romperlo primero. El contexto de mercado bajista, con Strategy recomprando acciones preferentes mientras BitMEX y BitMart se liquidan, agudiza la urgencia: tesorerías más pequeñas tienen menos margen para los mismos errores de gobernanza o de gestión de claves.
Preguntas frecuentes
-
¿Cuánto cripto se ha perdido por hacks en 2026?
Crypto ha perdido unos $972 millones por hacks en lo que va de 2026, según Mitchell Amador de Immunefi en Crypto Long & Short de CoinDesk. El número de incidentes sigue subiendo, y cada vez más valor sale por claves, firmantes y gobernanza, no por fallos de contrato.
-
¿Qué parte de las pérdidas recientes por hacks cripto vino de exchanges centralizados?
En la revisión de 425 hacks de Immunefi entre 2021 y 2025, el 54,6% de todo el valor perdido en el tramo 2024-2025, en 191 incidentes, se rastreó a compromisos de exchanges centralizados, es decir, las capas de claves, custodia y firma por encima del contrato.
-
¿Por qué las auditorías no bastan para asegurar un protocolo cripto?
Una auditoría verifica el código en un momento dado y no dice quién tiene la autoridad de firma, cómo se guarda una clave o qué ocurre si se compromete un portátil. Amador cita un protocolo auditado once veces que aun así perdió $128 millones.
-
¿Cuál es el gasto de seguridad con mejor ROI que puede hacer un protocolo?
Los programas de bug bounty en vivo. Amador señala una recompensa mediana de unos $20,000 que suele impedir un hack de unos $25 millones, el gasto de seguridad con mejor ROI que puede hacer un protocolo, porque la presión es continua y los incentivos no se degradan cuando cambian los firmantes o el personal.
-
¿Cuáles fueron las mayores pérdidas por gobernanza y gestión de claves en 2026?
BonkDAO perdió unos $20 millones este mes después de que un atacante gastara unos $4 millones para aprobar una propuesta de gobernanza en una votación con poca participación y vaciara la tesorería sin romper ningún contrato. Humanity Protocol perdió más de $30 millones en junio tras el compromiso de una clave privada…
CryptoSlate
TheBlock
CoinTelegraph