El revés de 763,9 millones de dólares: por qué las auditorías de contratos inteligentes no pudieron evitar el peor trimestre de la Web3

Desglose de la seguridad del segundo trimestre de 2026

El segundo trimestre de 2026 fue el periodo más grave para la seguridad de Web3 desde el segundo trimestre de 2025, ya que los actores maliciosos sustrajeron 763,9 millones de dólares en 67 incidentes de seguridad. El cambio más destacado del trimestre fue una transformación fundamental en los perfiles de vulnerabilidad: el código ya no es la principal superficie de ataque; ahora lo son los controles operativos y la gestión de claves.

Más del 88 % de las pérdidas totales se debieron a vulnerabilidades operativas, más que a fallos en la lógica de los contratos inteligentes. El capital institucional ya se está adaptando, reorientando las prioridades de la diligencia debida para alejarse de las auditorías puntuales y centrarse en la supervisión continua, la gobernanza del acceso privilegiado y los marcos de autorización con múltiples participantes.

Según el informe trimestral de seguridad y cumplimiento de Hacken, las vulnerabilidades en las claves y la infraestructura representaron el 88,3 % de todos los fondos sustraídos, es decir, unos 674,5 millones de dólares. Los errores en los contratos inteligentes siguieron siendo el tipo de ataque más común —44 de los 67 incidentes—, pero solo representaron aproximadamente el 11 % de las pérdidas totales. Alrededor del 75,5 % de todas las pérdidas se debieron a tan solo dos incidentes atribuidos a actores maliciosos norcoreanos, mientras que solo el 9 % de los proyectos analizados mantiene una supervisión continua y el 4 % combina auditorías, programas de recompensa por errores y supervisión en tiempo real.

Una de las principales conclusiones del segundo trimestre es que se produjeron brechas de seguridad en 14 protocolos auditados, lo que constituye un claro indicador de la brecha cada vez mayor entre lo que realmente evalúa una auditoría de contratos inteligentes y los puntos en los que los actores maliciosos atacan realmente. Para los expertos en seguridad, estas brechas ponen de manifiesto el error fatal de considerar una revisión del código en un momento determinado como un escudo de seguridad que lo abarca todo.

«El mayor error es pensar que una auditoría es un certificado de seguridad», afirmó Leo Fan, fundador de Cysic. «En realidad, se trata de una evaluación limitada a un código concreto en un momento determinado. Una auditoría no cubre automáticamente los dispositivos de los firmantes, la infraestructura en la nube, los permisos operativos, el bytecode desplegado, las actualizaciones posteriores, las dependencias de terceros ni los contratos antiguos que siguen siendo ejecutables». Eric Swartz, socio fundador y consejero general de Panther Hollow Ventures, se hizo eco de que considerar las auditorías como una meta final deja a los protocolos expuestos. «Una auditoría te indica cómo era un sistema en un momento concreto», señaló Swartz. «No garantiza que las futuras actualizaciones, los cambios operativos o los nuevos métodos de ataque no vayan a introducir riesgos. Los equipos más sólidos consideran las auditorías como una parte de un programa de seguridad mucho más amplio».

Samuel Videau, director técnico de Genius, señaló que la sección de alcance de un informe de auditoría suele revelar lo que no se ha evaluado. «Casi el 90 % de las pérdidas del segundo trimestre se debieron a claves, firmantes e infraestructura, todos ellos fuera de esa sección de alcance, y 14 proyectos auditados acabaron siendo vaciados de todos modos», afirmó Videau. «El informe de evaluación no es el programa de seguridad». Himanshu Sahay, director técnico y cofundador de Arch, hizo hincapié en que las auditorías no pueden funcionar de forma aislada. «Una auditoría es una importante evaluación puntual del código y la arquitectura que se han revisado, pero no puede tener en cuenta todos los riesgos operativos ni los cambios futuros en un sistema», afirmó Sahay. «La seguridad debe tratarse como un proceso continuo».

Eludir el código: el punto débil de la infraestructura fuera de cadena

Mientras tanto, a medida que las defensas de los contratos inteligentes maduran y la lógica en cadena se vuelve cada vez más difícil de comprometer, los actores maliciosos han cambiado de estrategia de forma decisiva. En lugar de forzar puertas principales fuertemente custodiadas, los atacantes están eludiendo sistemáticamente el código por completo para explotar el punto débil de la infraestructura fuera de cadena.

«La superficie más subestimada es el plano de control fuera de la cadena: dispositivos de firma, procedimientos de generación y rotación de claves, identidades en la nube, pipelines de CI/CD, servicios de backend, validadores de puentes y rutas de administración de emergencia», señaló Fan. «Los equipos suelen proteger el almacenamiento de claves, pero prestan menos atención a cómo se utilizan realmente las claves… Cuando se ven comprometidas, los atacantes pueden generar transacciones que son técnicamente válidas en la cadena, lo que dificulta mucho más la prevención y la detección». El propio perímetro de la nube ofrece una falsa sensación de seguridad a muchos desarrolladores de Web3.

«La principal suposición es que utilizar un gran proveedor de servicios en la nube hace que una aplicación sea segura por defecto», afirmó Jerald David, director ejecutivo de Lynq. «Los proveedores de servicios en la nube protegen la infraestructura subyacente, pero los equipos siguen siendo responsables de cómo se configuran los sistemas, cómo se gestionan las credenciales y quién tiene acceso».

Videau, por su parte, advirtió de que una arquitectura inadecuada puede anular la protección multisig. «Toda la operación se ejecuta en roles de servicio con permisos excesivos y pipelines de CI/CD que pueden acceder a las claves de producción, y si una cuenta de servicio puede leer tu clave de firma, tu multisig no sirve de nada», afirmó Videau. «Los contratos obsoletos que aún conservan derechos de administrador son otro vector de ataque: el código que lanzaste hace dos años es una puerta abierta, y a los atacantes no les importa lo que tú consideres dentro del ámbito de aplicación».

A medida que los inversores institucionales recalibran sus modelos de riesgo, el listón para la inversión de capital se ha elevado significativamente. El concepto de «apto para instituciones» ya no se define por un informe de auditoría impecable, sino por la demostración de madurez operativa, una gobernanza de nivel empresarial y controles resilientes de gestión de claves.

«Lo primero que miro es la madurez operativa», afirmó David. «¿Puede el equipo explicar claramente cómo se mueve el capital a través del sistema, dónde se encuentran los puntos clave de control y cómo se supervisan los riesgos? Las instituciones necesitan previsibilidad y transparencia».

Sahay señaló que ningún control por sí solo garantiza el respaldo institucional. «Las instituciones quieren comprender cómo se accede a los sistemas críticos, cómo se gestionan los permisos, cómo se supervisa la actividad y qué procesos existen si algo sale mal», explicó Sahay. «Es la combinación de controles sólidos, transparencia y disciplina operativa lo que, en última instancia, genera confianza».

A la hora de evaluar los protocolos, Fan se centra en el mapa de privilegios: quién puede mover activos, sustituir a los firmantes o modificar las medidas de seguridad. «Si tuviera que identificar un control que esté más asociado a la confianza institucional, sería la autorización multipartita en todas las rutas de movimiento de activos y actualizaciones», afirmó Fan. «Las instituciones quieren pruebas de que es imposible llevar a cabo acciones unilaterales».

Swartz añadió que las instituciones dan prioridad a cómo gestionan los equipos las situaciones adversas. «Las instituciones saben que ningún protocolo está completamente libre de riesgos», señaló Swartz. «Lo que importa es si el equipo cuenta con una buena gobernanza, controles internos sólidos, transparencia en torno al riesgo y un plan claro para responder cuando algo sale mal».

Los cinco expertos coinciden en que la Web3 debe adoptar estructuras de defensa por capas que incorporen supervisión en tiempo real, una gestión disciplinada de las claves y programas de recompensas por errores que respondan con rapidez, a fin de protegerse frente a las amenazas en constante evolución.

«Los activos digitales funcionan las 24 horas del día, pero algunas partes de la infraestructura que los sustenta siguen operando según los horarios financieros tradicionales», señaló David. «A medida que el mercado se vuelve más institucional, la infraestructura que sustenta el movimiento y la liquidación de capital también debe volverse más resiliente».

Perspectivas para el segundo semestre de 2026: reajuste de las estructuras de defensa

Por su parte, los expertos advierten de que el segundo semestre de 2026 traerá más de lo mismo. En lugar de malgastar recursos intentando realizar ingeniería inversa en contratos inteligentes auditados, se espera que los actores maliciosos sigan insistiendo en la vía de menor resistencia: los controles operativos, los objetivos humanos y la infraestructura clave.

«Preveo que los ataques operativos al control de acceso seguirán siendo la principal causa de pérdidas: ingeniería social, robo de credenciales, compromiso de los firmantes, intrusiones en la nube o en entornos de CI/CD y ataques a la infraestructura de validadores fuera de cadena», predijo Fan. «Seguirán produciéndose errores individuales en los contratos inteligentes, pero los atacantes seguirán apuntando al camino más corto hacia el control».

Videau concluyó con un llamamiento a reajustar el gasto en seguridad en función del riesgo real: «Invierte donde se producen las pérdidas. Casi el 90 % de los fondos robados se movieron a través de claves, firmantes e infraestructura, y, sin embargo, los presupuestos siguen destinándose a auditorías de contratos. Los peores ataques serán aquellos que nadie haya previsto, así que construye como si tu perímetro ya hubiera desaparecido».