Crypto hacks 2026: el código ya no basta

El Verdadero Punto Débil Es Humano

Durante años, la industria explicó los hackeos como un problema de código. Esa lectura se está quedando corta. CertiK apunta a phishing, deepfakes, compromisos de la cadena de suministro y vulnerabilidades cross-chain como los vectores que probablemente definirán las mayores pérdidas de 2026. El cambio importa porque desplaza el centro del riesgo desde el contrato hacia el operador, el canal de soporte y el flujo de aprobación. Un contrato bien auditado puede seguir viviendo dentro de una cultura de seguridad muy frágil.

Los casos recientes van en esa dirección. Chainalysis informó que Drift Protocol perdió alrededor de 285 millones de dólares el 1 de abril de 2026 en un ataque basado en acceso privilegiado y social engineering prolongado. No es la historia clásica de un bug encontrado por casualidad; es la historia de la confianza construida con paciencia y explotada después. Cuando la intrusión empieza con conversación, suplantación o fatiga de aprobación, el discurso de “auditar más” deja de ser suficiente.

Abril Dejó El Patrón Al Descubierto

CertiK dijo que el sector ya había perdido más de 600 millones de dólares en hacks en 2026, en gran parte por dos robos vinculados a Corea del Norte en abril. Cointelegraph reportó que uno de esos eventos implicó el supuesto exploit de 293 millones de dólares de Kelp DAO, mientras otro golpeó a Drift Protocol con unos 280 millones de dólares. Incluso si algunas cifras cambian entre estimaciones iniciales y reconstrucciones posteriores, la tendencia no cambia: las pérdidas se están concentrando en infraestructura de alta confianza y en fallos operativos, no solo en errores de contrato.

Eso encaja con el reporte trimestral de Hacken, que señaló que en el primer trimestre de 2026 phishing y social engineering dominaron el periodo y explicaron 306 millones de dólares en pérdidas. La misma lectura aparece en la guía de CertiK sobre vectores de riesgo para 2026, donde destacan deepfakes en tiempo real, QR phishing y ataques a la cadena de suministro de software. No son técnicas aisladas: forman parte del mismo patrón. Se imita a la persona, se altera la herramienta, y luego se empuja a la víctima hacia una acción que parece legítima.

Qué Cambia De Verdad En La Defensa

La conclusión incómoda es que la seguridad cripto depende cada vez menos de encontrar la función más débil y cada vez más de identificar la decisión humana más vulnerable. Eso cambia la economía de la defensa. Las auditorías de smart contracts siguen siendo necesarias, pero ya no ocupan el centro del modelo de riesgo. Ahora importan también la verificación interna, la higiene de claves administrativas, la separación de firmantes, la política de wallets y la integridad de los proveedores. En mi opinión, el sector todavía subestima lo mucho que exige este cambio.

Para los inversores, la lección es directa: un protocolo técnicamente sólido puede seguir muy expuesto si sus canales de comunicación, sus procesos de soporte o sus dependencias externas son débiles. La llegada de la IA agéntica agrava el problema, porque permite automatizar reconocimiento, suplantación y encadenamiento de ataques a una velocidad difícil de igualar. Si la IA abarata fingir confianza, sube el valor de los sistemas que la verifican antes de concederla.

What This Means For Investors (Our Take)

Los inversores deberían dejar de tratar la seguridad como un casillero secundario y empezar a verla como una variable de balance. En DeFi y en la infraestructura cripto más amplia, un solo fallo operativo puede borrar en horas meses de credibilidad técnica. Eso pesa especialmente en proyectos que dependen de multi-sig, equipos distribuidos, desarrollo externo o mensajería cross-chain compleja. La próxima gran diferencia entre proyectos no vendrá solo del producto, sino de su capacidad para resistir suplantación, robo de credenciales y fallos de proveedores.

Conviene vigilar tres señales: controles más estrictos sobre firmantes, respuestas a incidentes más transparentes y más presencia de IA en los informes forenses posteriores a un ataque. Si esas señales crecen, quedará claro que la industria ya pasó de “atacar el contrato” a “atacar el flujo de trabajo”.

Focus: La ventaja competitiva real en seguridad cripto ya no es mejor código: es menos confianza asumida.

Antonio Quinn, Director & Lead Bitcoin Analyst, The Chain Journal