Introducción
El 6 de julio de 2026, un atacante gastó aproximadamente cuatro millones de dólares en la compra de BONK, lo que le permitió controlar casi el cien por ciento de una votación que involucraba siete billeteras. Legalmente, logró drenar veinte millones de dólares del tesoro de la DAO. No se hackeó ningún código; la votación funcionó exactamente como se había diseñado. En este artículo, se explica cómo funcionan los ataques de gobernanza, por qué son cada vez más comunes y qué medidas pueden prevenirlos.
¿Qué es un ataque de gobernanza?
La mayoría de los robos en criptomonedas implican la ruptura de algo: un error en el contrato inteligente, una clave robada o un sitio web falsificado. Sin embargo, un ataque de gobernanza no rompe nada. Utiliza el propio sistema de votación de una organización descentralizada, tal como fue concebido, para aprobar una propuesta que entrega al atacante el tesoro. El código funciona a la perfección, las reglas se siguen al pie de la letra y, aun así, el dinero se pierde porque las propias reglas lo permitieron.
«Esto es precisamente lo que le ocurrió a BonkDAO el 6 de julio de 2026.»
El caso de BonkDAO
Un atacante compró silenciosamente aproximadamente cuatro millones de dólares en el token BONK en intercambios durante varios días, acumulando una participación dominante en el poder de votación. Luego, presentó una propuesta al tesoro de la DAO. Cuando se cerró la votación, las billeteras vinculadas al atacante controlaban aproximadamente el 99.878 por ciento de los votos emitidos. La propuesta fue aprobada y alrededor de veinte millones de dólares en BONK fueron drenados del tesoro hacia billeteras controladas por el atacante. Solo siete direcciones votaron en total.
Características de los ataques de gobernanza
Los ataques de gobernanza están volviéndose más comunes precisamente porque no requieren habilidades técnicas avanzadas, solo capital y un sistema de votación mal defendido. Un número creciente de DAOs, muchos de ellos proyectos de memecoin con tesorerías desproporcionadas, mantienen grandes tesorerías detrás de sistemas vulnerables.
La idea central es incómoda: en un sistema donde el dinero vota, quien puede alquilar suficientes votos puede reescribir las reglas. Una organización autónoma descentralizada (DAO) reemplaza a los ejecutivos y juntas con la votación de los tenedores de tokens. Sin embargo, un ataque de gobernanza convierte esa apertura en un arma.
Tipos de ataques de gobernanza
En lugar de encontrar un error en el código de la DAO, el atacante adquiere suficiente poder de votación a través de medios completamente legítimos, generalmente comprando el token de gobernanza, y luego utiliza ese poder para aprobar una propuesta que beneficia al atacante a expensas de los demás. Este tipo de ataque es puramente económico y no requiere un exploit de orden de transacción o trucos de mempool.
Los ataques de gobernanza comparten una lógica pero vienen en varias formas, distinguidas principalmente por cómo el atacante adquiere poder de votación y cuán rápido golpea. El ataque de acumulación lenta es el modelo de BonkDAO: comprar tokens gradualmente durante días o semanas, evitando sospechas y atacando cuando controlas suficientes votos y la participación es baja.
El ataque de préstamo relámpago es la variante más dramática, porque no requiere capital inicial en absoluto. Un atacante pide prestado una cantidad enorme, la utiliza para comprar o adquirir de otro modo un bloque de control de tokens de gobernanza, vota para aprobar una propuesta maliciosa, extrae el tesoro y reembolsa el préstamo, todo de manera atómica en una sola transacción.
Consecuencias y defensas
Las consecuencias de un ataque de gobernanza son severas. BonkDAO rastreó las billeteras de intercambio utilizadas para acumular los tokens y comenzó a trabajar con intercambios, puentes entre cadenas, la fundación de la red y las fuerzas del orden para buscar la recuperación. Sin embargo, las recuperaciones de ataques de gobernanza son notoriamente difíciles, precisamente porque el robo se ejecutó a través del propio proceso legítimo de la DAO.
Las principales defensas incluyen:
- Bloqueos de tiempo que retrasan la ejecución después de que una votación es aprobada.
- Requisitos de quórum que invalidan votaciones de baja participación.
- Controles de múltiples firmas de emergencia sobre grandes movimientos del tesoro.
- Limitar lo que una sola propuesta puede hacer.
Estas medidas buscan hacer que un ataque cueste más de lo que podría robar o dar tiempo a la comunidad para intervenir.
Conclusión
La gobernanza se está convirtiendo en un objetivo más grande a medida que las DAOs mantienen más valor. La combinación de un premio rico detrás de un candado débil es exactamente lo que buscan los atacantes. A medida que la gobernanza en la cadena se extiende desde protocolos experimentales hasta organizaciones que manejan dinero serio, la brecha entre las DAOs que han endurecido su votación y las que no lo han hecho se convierte en una de las líneas divisorias más claras en la seguridad de criptomonedas.
«La lección de veinte millones de dólares de BonkDAO es que la caja de sugerencias, en las manos equivocadas y con suficientes tokens detrás de ella, abre la bóveda.»
Aviso: Este artículo es solo para fines informativos y no constituye asesoramiento de inversión. Los mercados de activos digitales son volátiles y puedes perder toda tu inversión. Siempre haz tu propia investigación. Información actual a partir del 7 de julio de 2026.
