Informe sobre Pérdidas de Seguridad en Criptomonedas
Las pérdidas de seguridad en criptomonedas alcanzaron los $1.1 mil millones en 212 incidentes verificados durante la primera mitad de 2026, según un informe publicado por Blockaid el 28 de julio. Blockaid describió el conteo de incidentes de seis meses como un récord y señaló que verificó más explotaciones en el primer semestre que durante todo 2025.
Los ataques de seguridad operativa representaron el 74% del valor robado, mientras que un grupo asociado con la República Popular Democrática de Corea fue responsable del 55% de las pérdidas. Además, Blockaid indicó que el conteo de incidentes fue 3.4 veces superior al total de 2025, aunque las empresas de seguridad utilizan diferentes definiciones y métodos de cobertura al compilar estimaciones de pérdidas en la industria.
Origen de las Pérdidas y Cambios en los Ataques
Las pérdidas de $1.1 mil millones en 212 explotaciones en cadena en el primer semestre de 2026 superan el total combinado de todo 2025. Los datos de Blockaid revelan el origen de estas pérdidas y lo que los equipos en cadena deben observar en la segunda mitad del año: las cifras apuntan a un cambio en los ataques que dependen únicamente de un código de contrato inteligente defectuoso.
Dispositivos comprometidos, credenciales privilegiadas, claves privadas, sistemas de firma e infraestructura fuera de la cadena generaron la mayor parte de las pérdidas medidas. Estos ataques pueden producir transacciones en blockchain que parecen válidas porque las credenciales autorizadas las aprueban. Este patrón reduce la protección que ofrecen las auditorías de código por sí solas.
«Las auditorías pueden identificar fallas en los contratos, pero no pueden evitar que un administrador comprometido firme una transacción maliciosa o que un verificador de puente dependa de una infraestructura envenenada.»
Nuevos Vectores de Ataque y Proyectos Afectados
Blockaid advirtió que nuevos vectores de ataque emergieron durante el primer semestre y que algunos podrían expandirse en la segunda mitad del año. Los proyectos relacionados con Ethereum perdieron alrededor de $332 millones, siendo las vulnerabilidades de código responsables de gran parte de ese total. El caso más grande vinculado a Ethereum fue el de KelpDAO, donde los atacantes liberaron 116,500 rsETH por un valor de aproximadamente $292 millones de un contrato de puente tras falsificar un mensaje de cadena de origen.
Por su parte, los proyectos relacionados con Solana perdieron alrededor de $326 millones, de los cuales más del 98% provino de claves comprometidas e infraestructura de firma, en lugar de errores en contratos inteligentes, según encontró Blockaid.
Comparación entre Redes y Casos Específicos
La comparación entre redes no establece que una blockchain sea inherentemente más segura. En cambio, refleja qué aplicaciones fueron atacadas y cómo sus equipos gestionaron el acceso privilegiado. Un solo incidente grande también puede dominar el total de una red en seis meses.
Chainalysis vinculó el ataque a KelpDAO del 18 de abril con el Grupo Lazarus de Corea del Norte. Su investigación encontró que los atacantes comprometieron nodos RPC internos y interrumpieron nodos externos, haciendo que un sistema de verificación única aceptara un evento de quema falso.
«El puente del lado de Ethereum liberó rsETH a pesar de que no se habían destruido tokens correspondientes en la cadena de origen.»
Como informó crypto.news, KelpDAO completó la fase operativa de su plan de recuperación el 25 de mayo después de transferir un último tramo de 20,373.72 rsETH a su adaptador de puente. La acuñación, los canjes y las recompensas se reanudaron, aunque la litigación y las reclamaciones disputadas relacionadas con fondos congelados permanecieron sin resolver.
Incidentes en Drift y Step Finance
Drift sufrió un ataque separado de acceso privilegiado el 1 de abril. Chainalysis indicó que los atacantes utilizaron meses de ingeniería social y transacciones de nonce duraderas pre-firmadas para obtener control administrativo. La actualización de recuperación de Drift del 16 de abril valoró los activos robados en $295.7 millones, superando la estimación inicial de aproximadamente $285 millones utilizada por Blockaid y varios investigadores.
En una cobertura relacionada, crypto.news informó que Step Finance cerró después de que los atacantes comprometieran dispositivos ejecutivos y drenaran hasta $40 millones de activos controlados por el tesoro. La compañía recuperó alrededor de $4.7 millones, pero indicó que las conversaciones de financiamiento y adquisición no produjeron un camino sostenible hacia adelante.
Drift propuso un fondo de recuperación respaldado por ingresos de intercambio, Tether y otros socios. Su plan incluía hasta $127.5 millones de apoyo propuesto de Tether, $20 millones de otros socios y un token de recuperación transferible separado.
Recomendaciones y Futuro
Blockaid espera que los equipos se concentren más en las verificaciones de intención de transacción, dispositivos de firma aislados, segregación de claves y monitoreo a través de puentes e infraestructura. Estas medidas son recomendaciones de la empresa, no garantías.
Las próximas actualizaciones verificadas provendrán de los términos del token de recuperación de Drift y el cronograma de relanzamiento, el proceso de reclamaciones restantes de Step Finance, los procedimientos judiciales relacionados con los fondos congelados de KelpDAO y cualquier incautación de activos anunciada por las agencias de aplicación de la ley.
