Los mayores hackeos de cripto ya no provienen de errores en smart contracts, sino de vectores operativos y humanos que las auditorías de código tradicionales nunca fueron diseñadas para detectar, según una nueva investigación de Oak Security. Desde 2022, actores maliciosos, sobre todo el Lazarus Group de Corea del Norte, han robado más de 2.200 millones $ en toda la industria, aun cuando el número de auditorías de código realizadas se ha triplicado aproximadamente. Las pérdidas y el número de incidentes no han disminuido de forma significativa en ese mismo periodo, porque la mayoría de los ataques exitosos apuntan ahora a las personas y los procesos que rodean al código, no al código en sí.
Los mayores exploits actuales se originan en claves privadas comprometidas, manipulación de la gobernanza, compromiso interno, actualizaciones maliciosas de dependencias y fallos operativos, no en código Solidity o bytecode EVM defectuoso. El análisis de Oak Security es directo: la industria sigue defendiéndose de la generación anterior de ataques, mientras los atacantes han pasado página. Ese desajuste ha creado una peligrosa ilusión de seguridad, ya que las plataformas presumen del número de auditorías superadas o de la reputación de las firmas contratadas como atajo para声称 ser seguras, cuando en realidad una auditoría es solo una instantánea de un codebase dentro de un alcance definido, invalidada al instante por cualquier cambio de gobernanza, integración o modificación operativa.
Por qué importa
La calidad del código ha mejorado de forma real y las auditorías están haciendo lo que fueron diseñadas para hacer. El problema es estructural: los vectores de ataque más costosos siguen estando comparativamente mal defendidos porque quedan fuera del alcance de la auditoría. El hackeo de KelpDAO fue un recordatorio reciente de que los usuarios no distinguen entre un fallo de smart contract y un punto de fallo centralizado off-chain: solo ven cómo otro supuesto protocolo seguro pierde millones de la noche a la mañana. Ese patrón amenaza directamente cualquier vía creíble hacia la adopción masiva, porque ningún asignador racional arriesga su capital principal por yield frente a una narrativa de fallos repetidos y de primer nivel.
Impacto en el mercado
La implicación es que la defensa en profundidad (defense-in-depth) ya no es opcional.
Preguntas frecuentes
-
¿Cuáles son las mayores causas de los exploits cripto hoy?
Según Oak Security, las mayores pérdidas llegan ahora de claves privadas comprometidas, manipulación de la gobernanza, compromiso interno, actualizaciones maliciosas de dependencias y fallos operativos, no de bugs en el código de los smart contracts.
-
¿Cuánto han robado los hackers vinculados a Corea del Norte en cripto desde 2022?
Más de 2.200 millones $ han sido robados por actores maliciosos —sobre todo el Lazarus Group de Corea del Norte— desde 2022, aun cuando el número de auditorías de código en la industria se ha triplicado aproximadamente.
-
¿Por qué más auditorías de código no reducen los hackeos cripto?
La investigación de Oak Security detecta un desajuste claro: las auditorías se centran en el codebase, pero los atacantes se han desplazado a vectores humanos y operativos fuera del alcance de la auditoría. El resultado es más auditorías sin una caída real de pérdidas o incidentes.
-
¿Qué fue el hackeo de KelpDAO y por qué importa?
El hackeo de KelpDAO se cita como ejemplo reciente de un protocolo que perdió millones por un fallo off-chain u operativo, no por un bug de smart contract. Ilustra que los usuarios no distinguen entre fallos de código y puntos de fallo centralizados: solo ven cómo colapsa otro supuesto protocolo seguro.
-
¿Qué es la defensa en profundidad (defense-in-depth) en seguridad cripto?
La defensa en profundidad combina una revisión de código sólida con seguridad operativa reforzada: gestión de claves, descentralización de firmantes, restricciones de gobernanza, detección de anomalías, monitorización en tiempo real y circuit breakers que dificultan los ataques por vectores humanos.
CryptoSlate
TheBlock
Lookonchain