Los ataques cripto baten récord en número y destapan fallos en claves y firmas
Más incidentes, pero una comparación anual distorsionada
El informe de Blockaid fue difundido el 28 de julio y cubre acontecimientos ocurridos entre el 1 de enero y el 30 de junio. La fecha de publicación no debe confundirse con la de los ataques individuales: el documento consolida seis meses de datos y añade un análisis sobre los mecanismos utilizados y las áreas de mayor exposición.
The Block informó sobre sus conclusiones el mismo martes. Blockaid sostiene que el primer semestre fue el periodo de seis meses con más ataques verificados de su registro y que el número ya superó todos los incidentes contabilizados durante 2025.
El total monetario fue inferior al del primer semestre de 2025, pero la comparación está dominada por un caso excepcional: el robo de aproximadamente 1.500 millones de dólares sufrido por Bybit aquel año. Excluir ese incidente modifica sustancialmente la tendencia y muestra que la reducción aparente no equivale a una mejora general de seguridad.
La frecuencia y el importe miden fenómenos diferentes. Numerosos errores de contratos pueden causar pérdidas relativamente pequeñas, mientras la apropiación de una sola clave privilegiada puede permitir vaciar reservas enteras. Por ello, un semestre con más ataques puede presentar un total menor si carece de un caso extremo equivalente a Bybit.
Corea del Norte concentra los mayores importes
Blockaid atribuyó casi 600 millones de dólares a actores vinculados con la República Popular Democrática de Corea. Las dos operaciones principales fueron los ataques a Drift Protocol y KelpDAO, valorados respectivamente en torno a 285 millones y 292 millones.
En Drift, la firma describió una intrusión en la capa de gobierno y firma, no una ruptura directa del código ordinario de negociación. Su análisis técnico del incidente explicó que una clave privilegiada comprometida permitió autorizar movimientos extraordinarios en un periodo breve.
El caso de KelpDAO afectó un componente de verificación utilizado para trasladar activos entre redes. Blockaid señaló en su reconstrucción del ataque que el compromiso de una única red verificadora descentralizada permitió retirar aproximadamente 292 millones de dólares en rsETH.
Las atribuciones a un Estado no proceden solamente de observar la dirección receptora. Los investigadores combinan infraestructura, métodos de acceso, patrones de blanqueo, horarios, herramientas y conexiones con operaciones anteriores. Aun así, la información pública no identifica necesariamente a las personas concretas que ejecutaron cada intrusión.
LinkedIn y la ingeniería social como puerta de entrada
Dos de los cuatro ataques más costosos del semestre comenzaron con contactos realizados mediante LinkedIn, según Blockaid. Los adversarios emplearon perfiles y conversaciones profesionales para aproximarse a personas con acceso a infraestructura crítica y comprometer posteriormente sistemas de firma múltiple.
Una cartera multifirma exige varias autorizaciones antes de mover fondos. Su seguridad depende de que los firmantes sean realmente independientes. Si un atacante consigue controlar suficientes credenciales, el contrato ejecuta la operación porque las firmas son criptográficamente válidas, aunque la intención subyacente sea fraudulenta.
La ingeniería social no rompe el algoritmo de firma: persuade, engaña o compromete a la persona y el dispositivo que lo utilizan. Un perfil de contratación falso, una prueba técnica maliciosa o un enlace presentado como documento laboral puede instalar software capaz de extraer credenciales o manipular una transacción.
El diseño defensivo debe asumir que algún trabajador o equipo puede ser comprometido. Separar firmantes por sistemas operativos, proveedores, ubicaciones y canales de autorización resulta más robusto que mantener varias claves aparentemente distintas dentro de una misma consola.
Ethereum y Solana muestran riesgos diferentes
Blockaid calculó aproximadamente 332 millones de dólares en pérdidas sobre Ethereum y 326 millones sobre Solana. La proximidad de ambas cifras no implica que las redes fueran vulneradas del mismo modo ni que todos los ataques comprometieran sus mecanismos de consenso.
En Ethereum, los mayores episodios se concentraron en errores de código y componentes con grandes cantidades de capital. Los contratos inteligentes administran fondos automáticamente; una condición mal diseñada puede permitir préstamos sin respaldo, manipulación contable o retiros no previstos por sus creadores.
En Solana, el análisis detectó mayor peso de ataques contra infraestructura de firma, claves privadas y operaciones. Un protocolo puede tener contratos auditados y aun así perder activos si la autorización administrativa se conserva en un equipo comprometido o si una interfaz induce a firmar una instrucción distinta de la esperada.
La distinción tiene consecuencias para la inversión en seguridad. Auditar código continúa siendo necesario, pero no cubre ordenadores de empleados, proveedores en la nube, extensiones de navegador, procesos de recuperación, claves de gobierno o herramientas utilizadas para desplegar actualizaciones.
Las metodologías producen cifras distintas
Otros informes semestrales ofrecen totales cercanos, pero no idénticos. Immunefi contabilizó unos 972 millones de dólares en 207 incidentes, mientras análisis citados por Quill Audits situaron las pérdidas de finanzas descentralizadas alrededor de 935,3 millones.
Las divergencias no significan necesariamente que una fuente sea errónea. Cada organización decide qué considera incidente confirmado, si incluye estafas o pérdidas de particulares, cómo trata recuperaciones y congelaciones, qué fecha asigna a un caso y qué precio utiliza para valorar tokens volátiles.
Blockaid emplea su propia red de detección y verificación. Immunefi observa además incidentes comunicados mediante programas de recompensas y fuentes públicas. Una medición limitada a DeFi excluirá ataques contra plataformas centralizadas o individuos que otra base podría incorporar.
Por esa razón, “más de 1.000 millones” debe leerse como una estimación documentada y actualizable, no como un estado financiero auditado de todo el sector. La conclusión consistente entre las fuentes es la expansión del número de incidentes y el peso desproporcionado de las brechas de infraestructura.
Los agentes de inteligencia artificial abren otro frente
El informe identifica el ataque contra Bankr, con unos 216.000 dólares en pérdidas, como el primer incidente relevante de su registro relacionado con un agente de inteligencia artificial. Estos programas pueden consultar datos, utilizar herramientas y autorizar transacciones dentro de los permisos concedidos.
Un agente con acceso a una cartera amplía la superficie de ataque. Una instrucción maliciosa oculta en una página, conocida como prompt injection, puede intentar modificar su comportamiento. También pueden producirse abusos de herramientas, filtraciones de contexto o firmas automáticas que superen la intención original del propietario.
El importe de Bankr es pequeño frente a Drift o KelpDAO, pero el precedente importa por la velocidad con la que se están integrando agentes en sistemas de pagos y negociación. Blockaid prevé más incidentes durante el segundo semestre a medida que el software autónomo adquiera permisos financieros.
Las defensas deben incluir límites de gasto, listas de contratos permitidos, simulación previa de operaciones y autorización humana para movimientos extraordinarios. Un agente no debería recibir una clave con capacidad ilimitada únicamente porque su interfaz resulte cómoda.
Claves, supervisión y respuesta inmediata
Las mayores pérdidas refuerzan una conclusión: la seguridad de una aplicación blockchain abarca mucho más que su contrato. Incluye custodia de claves, administración de cambios, identidad de empleados, proveedores externos, interfaces y procedimientos para detener operaciones anómalas.
Los límites por transacción y por periodo pueden reducir el impacto de una credencial comprometida. Las demoras aplicadas a retiros extraordinarios ofrecen tiempo para reaccionar, siempre que exista vigilancia continua y una vía independiente para cancelar la instrucción.
También resulta esencial ensayar la respuesta. Un equipo puede detectar un movimiento irregular y no conseguir detenerlo si las mismas credenciales comprometidas controlan las funciones de emergencia. La separación entre operación cotidiana, supervisión y pausa debe ser real, no meramente documental.
El balance de Blockaid no demuestra que todas las cadenas o aplicaciones sean inseguras. Sí muestra que la multiplicación de servicios, puentes, agentes y herramientas de firma crea más puntos de entrada. El reto del segundo semestre será proteger esas capas operativas con el mismo rigor que el sector ha comenzado a aplicar al código público.