El 40% de los 16.690M $ robados en cripto viene de claves privadas

Según datos de DeFiLlama, hasta la fecha se han perdido unos 16.690 millones de dólares en hackeos de criptomonedas, ataques a puentes y exploits de DeFi, y alrededor del 40% de ese total se atribuye a claves privadas comprometidas, no a fallos del código blockchain ni de los contratos inteligentes. La firma de seguridad CertiK explicó a CoinDesk que los incidentes de seguridad operativa están aumentando mientras los exploits de contratos inteligentes descienden, una señal de que los atacantes siguen el camino de menor resistencia, ya que los proyectos concentran el gasto en auditorías de código.

Por qué importa

La arquitectura de clave única es la decisión de diseño de raíz que deja expuesta a la industria. Wish Wu, cofundador y CEO de Pharos, lo expuso sin rodeos: la mayor parte de la infraestructura blockchain se construyó para un modelo de un usuario, una clave, en el que el robo de la clave vacía todo al instante, frente a las normas de separación de funciones y múltiples aprobaciones sobre las que la finanzas tradicionales ha descansado durante décadas. Le Fan, fundador de la capa de pruebas ZK Cysic, calificó los hackeos de claves privadas como un fallo de gestión de claves que la industria sigue etiquetando erróneamente como un problema de criptografía.

El hackeo de Bybit de febrero de 2025 cristalizó la creciente superficie de ataque. Los atacantes comprometieron la cadena de suministro de software de una herramienta de desarrollo de terceros, introdujeron código malicioso en la interfaz del monedero y engañaron a ejecutivos para que firmasen el envío de 1.500 millones de dólares en Ethereum. Cuando una clave está lo suficientemente caliente como para ser útil, vive dentro de servicios en ejecución, credenciales en la nube y operadores humanos, y esa capa circundante es la que no deja de caer.

Impacto en el mercado

Las mitigaciones se están consolidando. La computación multipartita (MPC) y la firma umbral reparten el proceso de firma de modo que ninguna clave completa llega a existir en un único lugar, negando a los atacantes un único objetivo que vulnerar. La abstracción de cuentas incorpora límites de gasto, direcciones aprobadas y guardianes de recuperación social directamente en el monedero, de modo que un firmante comprometido no puede vaciar los fondos por sí solo. El inicio de sesión con passkey, la exigencia de monederos de hardware y SOP más estrictos de gestión de claves completan el conjunto. Wu advirtió de que la adopción es desigual: la mayoría de las cadenas aún añaden la seguridad como un extra opcional en lugar de integrarla en la capa de protocolo, la brecha que la próxima ola de dinero institucional examinará primero.

##