La empresa de seguridad Blockaid afirma que 212 vulnerabilidades en la cadena de bloques han supuesto un robo de 1.1B $, mientras se intensifican los ataques basados en IA y a carteras

Los hackers norcoreanos acumulan 600 millones de dólares en fondos robados

El primer semestre de 2026 supuso el periodo más activo jamás registrado en cuanto a amenazas de seguridad en cadena, y la empresa de seguridad Blockaid observó un aumento de 3,4 veces en los exploits de alto umbral con respecto a todo el año 2025. Según el Informe de Seguridad en la Cadena de Bloques del primer semestre de 2026 de Blockaid, las pérdidas totales en dólares alcanzaron los 1.100 millones de dólares, una cifra inferior a la del primer semestre de 2025 debido a la ausencia de un único megarrobo de varios miles de millones de dólares.

Sin embargo, el volumen y la sofisticación técnica de los ataques se intensificaron drásticamente. Los datos del estudio muestran que los atacantes llevaron a cabo 212 exploits verificados durante esos seis meses, alcanzando su punto álgido en junio con 57 incidentes distintos. Solo cuatro incidentes importantes representaron 707 millones de dólares, es decir, el 64 % del total de fondos robados. El grupo de hackers norcoreano «Trader Traitor», vinculado al Grupo Lazarus, fue responsable de aproximadamente 609 millones de dólares de las pérdidas totales, según Blockaid. La mayor parte de las pérdidas financieras se concentraron en un puñado de brechas de seguridad de gran repercusión provocadas por actores maliciosos patrocinados por el Estado norcoreano. Los dos mayores ataques del periodo, el del protocolo de restaking KelpDAO (292 millones de dólares) y el del DEX perpetuo de Solana Drift Protocol (285 millones de dólares), se atribuyeron ambos a «Trader Traitor». En lugar de basarse en fallos de los contratos inteligentes, estos ataques se centraron en vectores humanos y operativos. En la brecha de seguridad de Drift, semanas de ingeniería social dirigida otorgaron a los atacantes el control administrativo multisig, lo que dio lugar al robo de 285 millones de dólares en menos de 12 minutos. En el ataque a KelpDAO, los atacantes utilizaron ingeniería social contra un desarrollador de LayerZero para contaminar la infraestructura RPC y falsificar certificaciones de puentes entre cadenas.

Por otra parte, el informe destacó tres importantes brechas de seguridad que surgieron en el primer semestre de 2026 —áreas que históricamente han quedado fuera del alcance de las auditorías estándar—: los ataques de delegación de carteras EIP-7702, la inyección de comandos en la IA y la infraestructura de puentes fuera de cadena. Para poner de relieve la amenaza que suponen las vulnerabilidades de la IA, el informe señaló un incidente ocurrido en mayo en el que un atacante «utilizó la inyección de comandos para engañar al agente de IA de Bankr y que este aprobara una transacción no autorizada, con la que se llevó 216 000 dólares». Las tasas de recuperación siguieron mostrando grandes diferencias en función del vector de ataque. Los fondos robados a raíz de la compromisión de claves desaparecieron casi de inmediato en mezcladores o puentes entre cadenas. Por el contrario, los errores de protocolo permitieron en ocasiones una recuperación parcial o total gracias a la rápida coordinación de los «white hats» o a la suspensión de los contratos. De cara al futuro, Blockaid advierte de que los ecosistemas Web3 deben prepararse para una presión continuada en la segunda mitad del año. Entre los principales motivos de preocupación se encuentran las persistentes campañas de ingeniería social por parte de actores estatales sancionados, el aumento de los exploits relacionados con las funciones de delegación de carteras de la EIP-7702 y un rápido aumento de los ataques de inyección de comandos contra agentes de trading autónomos basados en IA, a medida que crece la adopción en las finanzas descentralizadas.