Un ataque cripto importante es un incidente de seguridad en el que los atacantes aprovechan vulnerabilidades como errores en contratos inteligentes, filtraciones de claves privadas, ingeniería social, secuestro de privilegios, manipulación de oráculos o fallos en la verificación entre cadenas para robar activos digitales de gran valor de plataformas de trading, protocolos DeFi e infraestructuras relacionadas. A diferencia de los errores tradicionales de software, si un protocolo cripto ejecuta una transacción válida aunque defectuosa, los activos pueden transferirse entre cadenas, intercambiarse o enviarse a mezcladores en minutos, dificultando mucho más la recuperación en comparación con los sistemas financieros tradicionales.
La relevancia de estos ataques reside tanto en la magnitud de las pérdidas como en la composabilidad de los sistemas blockchain. Un activo emitido por un protocolo puede aceptarse como colateral en una plataforma de préstamos y luego desplegarse en varias redes mediante puentes cross-chain. Cuando fallan los activos subyacentes, las reservas de los puentes o los oráculos, el riesgo se propaga a través de relaciones de colateral, préstamos y liquidez, exponiendo incluso a protocolos no atacados directamente a retiros masivos, deuda incobrable y congelamiento de mercados.
Este análisis se basa en los principales ataques divulgados públicamente en 2026, diferenciando vectores como falsificación de mensajes cross-chain, ingeniería social, filtración de claves, vulnerabilidades en contratos inteligentes y secuestro de front-end. Los casos de Kelp DAO, Drift Protocol y Step Finance ilustran respectivamente el contagio entre protocolos, el compromiso del sistema de privilegios y la insuficiencia de reservas de capital, y muestran por qué ataques de valor similar pueden tener resultados muy distintos según el proyecto.
Puntos clave:
- En 2026, los ataques cripto evolucionaron más allá de los fallos en contratos inteligentes para centrarse en puentes cross-chain, privilegios administrativos, claves privadas, oráculos e ingeniería social.
- Kelp DAO y Drift Protocol sumaron cerca de 577 millones de USD en pérdidas, la mayor parte de las pérdidas por ataques en el primer semestre del año.
- Un solo ataque puede provocar retiros masivos de usuarios, depeg del colateral, deuda incobrable en el protocolo y caídas del precio de los tokens, cortando la cadena de financiación de un proyecto.
- Evaluar la seguridad de un protocolo requiere más que auditorías; factores como privilegios multisig, timelocks, fondos de seguridad, reservas estables y capacidad de respuesta ante emergencias son fundamentales.
Magnitud de las pérdidas por ataques cripto en 2026
Las organizaciones de seguridad reportaron cifras diferentes sobre las pérdidas por ataques cripto en 2026.
Blockaid estimó que las pérdidas por ataques on-chain en el primer semestre de 2026 alcanzaron unos 1 100 millones de USD, superando su cifra de todo 2025. TRM Labs reportó algo menos de 1 000 millones de USD, pero indicó que atacantes vinculados a Corea del Norte fueron responsables de cerca del 66 % de las pérdidas del primer semestre.
Estas diferencias se deben a criterios metodológicos:
- Inclusión de pérdidas individuales por phishing como ataques a protocolos
- Si se contabilizan robos de billeteras de plataformas centralizadas
- Inclusión de estafas y proyectos maliciosos
- Si las pérdidas se calculan en el momento del ataque o del reporte
- Si los fondos congelados o recuperados se deducen del total de pérdidas
- Si los activos cross-chain depegados se incluyen en las pérdidas reales
Por tanto, los datos anuales sirven para analizar tendencias, y no deben sumarse cifras de diferentes organizaciones. Lo que sí es evidente es que en 2026 las pérdidas estuvieron concentradas en unos pocos incidentes. Kelp DAO y Drift Protocol sumaron cerca de 577 millones de USD, la mayoría de las pérdidas del primer semestre.
Principales incidentes de ataques cripto en 2026
Según reportes públicos y resúmenes de eventos de seguridad, los ataques más destacados de 2026 incluyen:
| Fecha |
Proyecto |
Pérdida estimada |
Vector principal de ataque |
| 18 de abril |
Kelp DAO |
~292 millones de USD |
Falsificación de mensajes cross-chain, liberación de reservas del puente |
| 1 de abril |
Drift Protocol |
~285 millones de USD |
Ingeniería social, secuestro de privilegios, colateral falso |
| 31 de enero |
Step Finance |
~27,3–35 millones de USD |
Compromiso de clave de tesorería o cuenta de alto privilegio |
| Enero |
Truebit |
~26,4 millones de USD |
Vulnerabilidad en contrato inteligente |
| Enero |
Resolv Labs |
~23 millones de USD |
Filtración de clave privada |
| 15 de abril |
Grinex |
~13,74 millones de USD |
Fondos de billetera de exchange transferidos |
| Abril |
Rhea Finance |
~7,6 millones de USD |
Contrato de token fraudulento |
| 21 de febrero |
IoTeX ioTube Bridge |
~4,4 millones de USD |
Filtración de clave privada de puente cross-chain |
| Febrero |
CrossCurve |
~3 millones de USD |
Falta de verificación de contrato cross-chain |
| Febrero |
Hyperbridge |
~2,5 millones de USD |
Vulnerabilidad en puente cross-chain |
| 14 de abril |
CoW Swap |
~1,2 millones de USD |
Secuestro de dominio o front-end |
La pérdida de Step Finance osciló entre 27,3 millones y 35 millones de USD, según el precio de mercado de los 261 854 SOL robados. Esto demuestra que el número de tokens perdidos suele ser más estable que su valoración en USD.
La lista evidencia que los objetivos de ataque van más allá de los contratos inteligentes. Claves de tesorería, privilegios administrativos, verificación cross-chain, sistemas de nombres de dominio y miembros del equipo pueden ser explotados. El modelo tradicional de “auditoría antes del lanzamiento” ya no cubre toda la superficie de ataque de los protocolos.
Kelp DAO: Cómo una vulnerabilidad en un puente cross-chain se propagó entre protocolos
El ataque a Kelp DAO es un ejemplo paradigmático de propagación de riesgos entre protocolos en 2026.
Los atacantes drenaron 116 500 rsETH del puente cross-chain de Kelp DAO basado en LayerZero, con un valor de unos 292 millones de USD, cerca del 18 % del suministro circulante de rsETH.
rsETH es un activo de restaking líquido que representa el ETH en staking de los usuarios y su rendimiento. Los usuarios pueden mantener rsETH o transferirlo a otras redes como colateral para protocolos de préstamos o liquidez.
El problema fue que el puente cross-chain de Kelp DAO mantenía reservas de rsETH envuelto en otras redes. Cuando los atacantes falsificaron mensajes cross-chain para liberar activos, los derivados de rsETH en más de 20 redes quedaron bajo sospecha sobre la suficiencia de reservas.
El impacto del ataque se propagó rápidamente:
- Kelp DAO perdió unos 292 millones de USD en activos
- Las reservas de rsETH en redes distintas a Ethereum quedaron bajo escrutinio
- Aave congeló los mercados de rsETH en V3 y V4
- Protocolos como SparkLend y Fluid tomaron medidas similares
- Lido suspendió productos con exposición a rsETH
- Los usuarios retiraron rápidamente fondos de protocolos con riesgo rsETH
- El token AAVE sufrió una caída notable de precio
El multisig de emergencia de Kelp DAO pausó los contratos principales unos 46 minutos después del ataque, impidiendo que los atacantes movieran otros 40 000 rsETH. Sin embargo, la mayoría de los fondos ya había sido transferida.
Este incidente demuestra que los puentes cross-chain son más que herramientas de transporte de activos: también gestionan reservas, verificación de mensajes y credibilidad de activos en varias redes. Cuando se roban las reservas del puente, el riesgo se extiende a todos los protocolos de préstamos y liquidez que aceptan los activos envueltos relacionados.
Incluso los usuarios que nunca interactuaron con Kelp DAO pudieron sufrir pérdidas por tener rsETH como colateral en otros lugares. Así, la composabilidad DeFi amplifica el riesgo.
Drift Protocol: Sin fallo de código, pero el sistema de privilegios fue comprometido
El ataque a Drift Protocol expuso un riesgo que las auditorías tradicionales no suelen detectar.
El 1 de abril de 2026, los atacantes obtuvieron privilegios de gestión sobre Drift Protocol y transfirieron unos 285 millones de USD desde la tesorería del protocolo, más del 50 % de su TVL en ese momento.
Chainalysis reveló que los atacantes pudieron haber contactado con miembros del equipo desde otoño de 2025, haciéndose pasar por una firma de trading cuantitativo, participando en reuniones, discusiones de producto y colaboraciones, e incluso depositando más de 1 millón de USD en Drift para ganar confianza.
El ataque no fue un simple robo de claves, sino una estafa a largo plazo:
- El atacante creó un token falso, CVT, y controlaba cerca del 80 % de su suministro
- Utilizó un pequeño pool de liquidez para simular estabilidad y actividad de precio
- Usó un oráculo manipulado para reportar un precio falso cercano a 1 USD
- Aplicó ingeniería social para que miembros del comité de seguridad firmaran transacciones prefirmadas aparentemente normales
- Aprovechó el Durable Nonce de Solana para retrasar la ejecución
- Tras obtener privilegios de administrador, añadió CVT como colateral elegible
- Depositó 500 millones de tokens CVT prácticamente sin valor
- Tomó prestados activos reales como USDC, SOL y ETH usando el colateral falso
El atacante no falsificó firmas. Las transacciones tenían firmas válidas de miembros autorizados, por lo que los sistemas de seguridad las trataban como legítimas.
Drift usaba un comité de seguridad multisig 2/5, pero sin timelock. El atacante solo necesitó dos firmas válidas para transferir privilegios instantáneamente.
La lección clave: El multisig eleva la exigencia para los privilegios, pero no garantiza que los firmantes comprendan lo que están autorizando.
Sin simulación de transacciones, alertas de cambios de privilegios, timelocks y revisiones independientes, incluso firmas completamente válidas pueden ser manipuladas mediante ingeniería social.
Step Finance es una plataforma de gestión de carteras y datos del ecosistema Solana. En enero de 2026, el dispositivo de un alto ejecutivo fue comprometido mediante phishing o intrusión de privilegios, resultando en la transferencia de 261 854 SOL desde la tesorería multisig del proyecto.
Según el precio de SOL, la pérdida fue de unos 27,3 a 35 millones de USD.
Aunque la pérdida de Step Finance fue mucho menor que la de Kelp DAO y Drift Protocol, el impacto en la viabilidad del proyecto fue más severo. El equipo intentó recaudar fondos, vender el negocio y buscar soluciones de rescate, pero finalmente no logró asegurar suficiente capital y cerró en febrero.
Que un incidente de seguridad acabe con un proyecto depende no solo del monto perdido, sino de su proporción respecto a:
- Reservas en stablecoin y fiat
- Ingresos anuales del protocolo
- Tokens que pueden venderse sin desplomar el mercado
- Fondos de seguro o seguridad
- Capacidad de financiación de accionistas e inversores
- Voluntad de los usuarios de seguir depositando y operando
Para plataformas con cientos de millones en reservas, un ataque de 30 millones puede ser absorbible. Para proyectos medianos con solo unos millones de ingresos anuales, puede acabar con todos los fondos operativos.
Step Finance demuestra que la seguridad de la tesorería y del producto son inseparables. Incluso si los activos de los usuarios no están en un único contrato inteligente, el compromiso de cuentas de alto privilegio o de la tesorería puede acabar con el negocio.
Cómo cambiaron los vectores de ataque cripto en 2026
En 2026, los ataques no abandonaron los bugs en contratos inteligentes, pero los incidentes de mayor impacto ocurrieron cada vez más fuera de los contratos.
Mensajes cross-chain y reservas de puentes
Los puentes cross-chain deben verificar mensajes de otras cadenas, confiando en multisig, redes de oráculos, light clients o pruebas de conocimiento cero. Cualquier error en la configuración, privilegios o verificación de mensajes puede liberar activos reales.
Los contratos de puentes suelen mantener grandes reservas centralizadas, convirtiéndolos en objetivos de alto valor: los ataques exitosos pueden generar cientos de millones.
Claves privadas y privilegios de gestión
Los incidentes en Resolv Labs, IoTeX ioTube Bridge y Step Finance muestran que las claves o cuentas de alto privilegio siguen siendo un riesgo principal. El código puede auditarse, pero la gestión de claves involucra personal, dispositivos, servicios en la nube y operaciones diarias, ampliando la superficie de ataque.
Ingeniería social y firmas ciegas
El caso de Drift Protocol muestra que los atacantes pueden pasar meses construyendo relaciones comerciales, asistiendo a reuniones y haciéndose pasar por clientes reales. El objetivo no es la contraseña, sino el juicio del firmante.
Oráculos y colateral falso
Los oráculos determinan cómo los protocolos interpretan los precios de los activos. Si se aceptan tokens de baja liquidez como colateral, los atacantes pueden manipular precios y tomar prestados activos de valor real.
Ataques a dominios y front-end
Incidentes en front-end como el de CoW Swap recuerdan que la seguridad de los contratos inteligentes no garantiza puntos de acceso seguros. Los atacantes pueden secuestrar dominios, DNS, código front-end o scripts de terceros para engañar a los usuarios y que autoricen transacciones maliciosas.
Tokens fraudulentos y cadena de suministro
Rhea Finance involucró un contrato de token fraudulento. A medida que los protocolos dependen cada vez más de tokens externos, oráculos, puentes y componentes de software, el perímetro de seguridad abarca toda la cadena de suministro tecnológica.
Por qué un solo ataque puede acabar con un protocolo
Aunque el primer impacto de un ataque es la pérdida de activos, un proyecto suele entrar en una espiral de muerte por reacciones en cadena posteriores.
Déficit directo de activos
Si los activos robados son de los usuarios, el proyecto debe decidir sobre la compensación. Si pertenecen a la tesorería, el equipo pierde presupuesto para salarios, seguridad y servidores.
Retiro masivo de liquidez por usuarios
Tras un ataque, los usuarios racionales son los primeros en salir. Incluso si el protocolo sigue siendo solvente, los retiros masivos pueden forzar ventas de activos, cierres de mercado o límites de reembolso.
Depeg del colateral y deuda incobrable
Si los activos robados son stablecoins, tokens de staking líquido o activos envueltos, los precios de mercado pueden caer por debajo de su valor teórico. Los prestatarios pueden abandonar posiciones subcolateralizadas, dejando las pérdidas al protocolo y a los proveedores de liquidez.
Caída del precio del token
Los protocolos suelen tener grandes cantidades de sus propios tokens. Las noticias sobre ataques pueden hacer caer los precios, privando al proyecto de financiación cuando más la necesita. Vender tokens para recaudar fondos puede deprimir aún más los precios.
Interrupción de ingresos
Pausar contratos puede frenar ataques, pero también detiene trading, préstamos e ingresos por comisiones. Los proyectos pierden ingresos justo cuando más los necesitan.
Dificultades de financiación de rescate
En mercados bajistas, los inversores son reacios a financiar proyectos con grandes déficits de activos. Los nuevos fondos pueden exigir control, tokens con descuento o condiciones preferentes que los equipos originales no acepten.
Confianza irrecuperable
Los contratos inteligentes pueden corregirse, pero la confianza en la gestión es difícil de restaurar con una simple actualización. Si los ataques provienen de privilegios internos, firmas ciegas o riesgos ignorados, los usuarios pueden temer que los problemas se repitan.
Por tanto, la gravedad de un ataque depende del balance, los ingresos y la gobernanza del proyecto, no solo de la vulnerabilidad técnica.
Por qué las auditorías de contratos inteligentes no cubren todos los riesgos
Las auditorías revisan versiones concretas de código en un momento dado, identificando algunos bugs y vectores de ataque, pero no pueden garantizar la seguridad perpetua del protocolo.
Las auditorías tradicionales suelen pasar por alto:
- Dispositivos de empleados y cuentas de comunicación
- Almacenamiento de claves privadas de administración
- Susceptibilidad de los firmantes a la ingeniería social
- Cambios de parámetros tras el lanzamiento
- Adición de nuevo colateral y configuraciones de oráculos
- Puentes y servicios de mensajería de terceros
- Componentes de dominio, front-end y cadena de suministro
- Versiones de código actualizadas
- Intención de gestión antes de la ejecución de la transacción
El código de Drift Protocol fue auditado varias veces, pero el vector de ataque fue el flujo de privilegios y firmas. El riesgo de Kelp DAO residía en los mensajes cross-chain y reservas del puente. Ambos casos demuestran que una auditoría solo prueba que se revisó una versión de código, no que el sistema sea seguro operativamente.
Un framework de seguridad maduro debe cubrir prevención, monitorización, respuesta y recuperación, no solo una auditoría previa al lanzamiento.
Qué métricas de seguridad importan más que “aprobó la auditoría”
Evalúa la seguridad de un protocolo centrándote en estas métricas:
| Dimensión de seguridad |
Preguntas clave |
Señales de alto riesgo |
| Privilegios de gestión |
¿Quién puede actualizar contratos o cambiar parámetros? |
Una sola clave privada posee altos privilegios |
| Estructura multisig |
¿Cuántos firmantes se requieren para autorizar? |
Umbral bajo, identidades de firmantes muy solapadas |
| Timelock |
¿Las operaciones críticas se retrasan antes de ejecutarse? |
Cambios de privilegios surten efecto de inmediato |
| Simulación de transacciones |
¿Los firmantes pueden previsualizar el resultado real antes de firmar? |
Los firmantes dependen de datos sin procesar difíciles de entender |
| Oráculo |
¿Cuántos mercados y fuentes de datos suministran precios? |
Activos de baja liquidez dependen de una sola fuente de precios |
| Dependencias cross-chain |
¿Los activos dependen de reservas de puentes? |
Un solo puente respalda grandes activos en muchas redes |
| Estructura de reservas |
¿Cuánto de la tesorería está en stablecoins y fiat? |
La tesorería consiste principalmente en tokens nativos |
| Fondo de seguridad |
¿Puede cubrir grandes pérdidas? |
Sin seguro, compensación ni reservas de riesgo |
| Monitorización en tiempo real |
¿Retiros anómalos pueden activar una pausa? |
Solo depende de la detección manual de incidentes |
| Privilegios de emergencia |
¿Quién controla los mecanismos de pausa? |
Sin pausa rápida o privilegios excesivamente concentrados |
| Divulgación de información |
¿Son públicos los post-mortem y planes de compensación? |
Prolongado silencio o solo declaraciones vagas |
El punto clave no es si un protocolo tiene privilegios de administrador, sino si esos privilegios están segmentados y restringidos. Los cambios de parámetros, transferencias de activos, actualizaciones de contratos y pausas de emergencia no deben compartir rutas de autorización idénticas.
Cómo los usuarios pueden identificar riesgos potenciales de ataque a protocolos
Aunque los usuarios no pueden auditar contratos complejos por sí mismos, pueden reducir el riesgo mediante la estructura del producto:
- Distingue activos nativos de los bridged. Los activos etiquetados como “Wrapped”, “Bridged” o con prefijo de red pueden depender de reservas de puentes cross-chain, exponiendo al holder a riesgos del protocolo emisor, el puente y la red de destino.
- Comprueba si el protocolo acepta activos de baja liquidez como colateral. Cuanto más fácil sea manipular el precio de un activo, mayor es el riesgo de oráculo y liquidación.
- Confirma si el protocolo usa timelock. Sin timelock, las acciones de gestión pueden surtir efecto inmediatamente tras una sola firma, sin dar margen de salida a los usuarios.
- No juzgues la seguridad solo por el TVL. Un TVL alto implica más activos en juego y un objetivo mayor para los atacantes.
- Limita la exposición a cualquier protocolo. Incluso si no puedes predecir cuál será atacado, diversificar fondos puede evitar que un solo evento cause pérdidas irreparables.
Por último, tras el anuncio de un incidente, suspensión de mercado o investigación de seguridad por parte de un protocolo, evita enlaces no oficiales de “compensación” o “migración”. Los atacantes suelen aprovechar incidentes reales para lanzar una segunda ola de phishing.
Conclusión: La seguridad de los protocolos es ahora una cuestión de balance
Los grandes ataques cripto de 2026 demuestran que la seguridad ha evolucionado de “¿hay bugs en contratos inteligentes?” a “¿puede la organización gestionar fondos, privilegios y dependencias de forma segura?”.
El ataque al puente cross-chain de Kelp DAO evidenció cómo la composabilidad amplifica el riesgo; Drift Protocol probó que firmas válidas pueden ejecutar intenciones maliciosas; Step Finance mostró que incluso proyectos medianos con productos reales pueden perder viabilidad operativa tras una sola pérdida de tesorería.
Las pérdidas directas son solo el principio. Retiros de usuarios, depeg de colateral, deuda incobrable, caída de precios de tokens, suspensión de ingresos y fracasos en la recaudación pueden convertir un incidente técnico en una crisis empresarial.
La seguridad de los protocolos debe considerarse no solo como un gasto de I+D, sino como parte de la suficiencia de capital. Fondos de seguridad, reservas en stablecoin, aislamiento de privilegios, timelocks y capacidad de respuesta ante emergencias determinan si un proyecto puede recuperarse tras un ataque.
En el futuro, los protocolos que sobrevivan a los ciclos de mercado no serán necesariamente los que nunca sufran ataques, sino los que sean capaces de limitar pérdidas, mantener la solvencia, divulgar hechos rápidamente y convencer a los usuarios de que los mismos problemas no se repetirán.
