Un informe de ack3 revela que el 94% de las pérdidas en proyectos auditados provino de fallas fuera del alcance de las revisiones de contratos inteligentes.
Las auditorías de contratos inteligentes no evitaron las pérdidas millonarias en cripto durante 2026
Los inversores de criptomonedas perdieron casi USD $1.000 millones durante la primera mitad de 2026, a pesar de que muchos de los protocolos afectados contaban con auditorías de seguridad.
Un análisis publicado por la firma de investigación ack3 identificó 135 explotaciones entre enero y junio de 2026, con pérdidas acumuladas de USD $939,86 millones, equivalente a un promedio cercano a USD $6,96 millones por incidente.
Sin embargo, el dato que más preocupa a la industria no es únicamente el tamaño de las pérdidas, sino dónde ocurrieron los ataques: el 94,4% de los fondos robados en proyectos auditados fueron extraídos mediante componentes que los auditores nunca revisaron.
La conclusión del informe es clara: las auditorías tradicionales de contratos inteligentes están dejando fuera una parte crítica del ecosistema: claves privadas, infraestructura, servidores, dominios y sistemas de administración.
Los mayores ataques no explotaron contratos inteligentes
Los dos incidentes más grandes del semestre explican gran parte de las pérdidas registradas.
El protocolo de restaking líquido Kelp DAO sufrió en abril un ataque que provocó pérdidas por aproximadamente USD $292 millones. Los atacantes lograron falsificar un mensaje cross-chain de LayerZero tras comprometer el sistema encargado de verificar mensajes, convirtiendo un componente crítico en un punto único de fallo.
Poco antes, el exchange descentralizado de derivados Drift, construido sobre Solana, perdió alrededor de USD $285 millones. Investigadores relacionaron el ataque con una operación de ingeniería social que permitió obtener acceso a claves administrativas después de meses de preparación.
Ambos incidentes representaron cerca del 61% de todo el dinero perdido durante el primer semestre del año.
El problema no estuvo en errores matemáticos dentro del código, sino en elementos externos al contrato: credenciales comprometidas, accesos privilegiados e infraestructura vulnerable.
Las claves privadas se convirtieron en el nuevo objetivo de los atacantes
El patrón se repitió en otros ataques importantes.
- Step Finance: USD $40 millones perdidos.
- Humanity Protocol: USD $32 millones.
- USR de Resolv: USD $24,5 millones.
En estos casos, los atacantes no necesitaron romper contratos inteligentes. El acceso llegó mediante claves privadas comprometidas y fallas en los sistemas de firma.
Los puentes entre cadenas también continuaron siendo un punto débil:
- Verus: USD $11,5 millones.
- Syscoin: USD $8 millones.
- Taiko: USD $1,7 millones.
Incluso proyectos reconocidos estuvieron expuestos. Polymarket sufrió dos incidentes: un drenaje interno de wallet por aproximadamente USD $700.000 y posteriormente un ataque de cadena de suministro que comprometió su sitio web y provocó pérdidas adicionales por USD $3,1 millones.
“Auditado” ya no significa completamente seguro
El estudio de ack3 muestra que las auditorías siguen siendo importantes, pero su alcance actual resulta limitado frente a la complejidad de los protocolos modernos.
Según la investigación, únicamente el 5,6% de las pérdidas en proyectos auditados estuvo relacionado con vulnerabilidades dentro del código revisado.
El resto ocurrió mediante vectores externos:
- claves privadas,
- interfaces,
- dominios,
- servidores,
- integraciones externas,
- configuraciones administrativas.
Josef Gattermayer, fundador y CEO de ack3, señaló que muchos proyectos auditados perdieron cientos de millones de dólares a través de rutas de ataque que quedaban fuera del alcance de las revisiones tradicionales.
“Las revisiones de contratos inteligentes siguen siendo esenciales, pero la IA facilita encontrar debilidades en integraciones y combinarlas en ataques entre componentes”, explicó.
Las auditorías también enfrentan un problema de tiempo
Otro desafío identificado por ack3 es que muchas auditorías quedan rápidamente desactualizadas.
De las 20 auditorías más cercanas a ataques analizados, 17 tenían al menos seis meses de antigüedad cuando ocurrió el exploit.
En un ecosistema donde los protocolos cambian constantemente, agregar nuevas funciones, modificar contratos e integrar servicios externos puede dejar obsoleta una revisión anterior.
Una auditoría realizada hace un año difícilmente representa el estado actual de un protocolo que continúa evolucionando.
La inteligencia artificial cambia la guerra de seguridad Web3
La llegada de herramientas de inteligencia artificial está modificando tanto las capacidades defensivas como ofensivas en ciberseguridad.
Los atacantes pueden utilizar IA para analizar grandes cantidades de código, detectar puntos débiles fuera del alcance de auditorías tradicionales y combinar diferentes vulnerabilidades para construir ataques más sofisticados.
Por esta razón, los expertos apuntan hacia un nuevo modelo de seguridad: pasar de revisiones puntuales de contratos inteligentes a sistemas de protección continua.
Esto incluye:
- monitoreo permanente,
- pruebas de penetración,
- auditorías de infraestructura,
- protección avanzada de claves,
- revisión de integraciones externas.
¿Qué deben revisar los usuarios antes de confiar en un protocolo?
Para los inversores, la palabra “auditado” ya no debería ser una garantía automática.
Antes de depositar fondos en un proyecto, los usuarios deberían preguntarse:
- ¿Qué parte del protocolo fue realmente auditada?
- ¿Cuándo se realizó la última revisión?
- ¿Quién controla actualmente las claves administrativas?
Durante la primera mitad de 2026, muchas respuestas dejaron una misma lección: el contrato inteligente podía estar revisado, pero la infraestructura alrededor seguía siendo vulnerable.
La seguridad en Web3 está entrando en una nueva etapa. Las auditorías seguirán siendo necesarias, pero proteger únicamente el código ya no será suficiente. En un ecosistema cada vez más conectado, la seguridad deberá abarcar todo el sistema.