Las cuentas secuestradas ya son la mayor amenaza DeFi

La naturaleza de los hackeos DeFi ha cambiado radicalmente este año. Por primera vez, las cuentas secuestradas son responsables de más de la mitad de todos los ataques DeFi por número de incidentes — superando a los exploits clásicos de contratos inteligentes como principal vector de ataque. Solo en los primeros cuatro meses de 2026, los protocolos DeFi perdieron más de 750 millones de dólares (unos 655,9 millones de euros) por exploits; sumando mayo y (parcialmente) junio, el total acumulado supera los 840 millones de dólares (unos 734,6 millones de euros).

En resumen 🔓 Las cuentas secuestradas representan ya más del 50% de todos los ataques DeFi — más que los fallos en contratos inteligentes 💸 Los protocolos DeFi ya han perdido más de 840 millones de dólares (unos 734,6 millones de euros) por exploits en 2026 🗳️ El 6 de julio, Bonk DAO sufrió una votación de gobernanza secuestrada, con daños de unos 20 millones de dólares (unos 17,5 millones de euros) 🎭 El atacante ocultó una instrucción maliciosa dentro de una propuesta de gobernanza y compró previamente poder de voto en grandes exchanges 🕵️ Chainalysis vincula alrededor del 76% de las pérdidas globales por hackeos cripto en 2026 a actores relacionados con el grupo Lazarus 🛡️ Para los usuarios, la seguridad de las wallets y la vigilancia ante las votaciones de gobernanza son cada vez más importantes

De los fallos en contratos inteligentes a las cuentas secuestradas

Durante años, la seguridad DeFi se centró principalmente en encontrar fallos en el código de los contratos inteligentes. Ese riesgo sigue existiendo, pero 2026 muestra un cambio claro: más de la mitad de todos los ataques DeFi de este año pasan ahora por cuentas secuestradas o comprometidas en lugar de por fallos técnicos en el código subyacente. Los investigadores de Chainalysis atribuyen además alrededor del 76% de las pérdidas globales por hackeos cripto en 2026 a actores vinculados al grupo Lazarus, un grupo asociado al Estado norcoreano.

El hackeo de Bonk DAO como ejemplo real

El 6 de julio de 2026, Bonk DAO sufrió exactamente este tipo de ataque. A través de una propuesta de gobernanza maliciosa — denominada internamente BIP #76 — un atacante logró sustraer aproximadamente 4,426 billones de tokens (valorados en unos 20 millones de dólares, unos 17,5 millones de euros) de la tesorería de la comunidad. El atacante ocultó una instrucción de ejecución maliciosa dentro del propio texto de la propuesta y compró previamente unos 88.230 millones de tokens BONK en grandes exchanges como Binance y Bybit para asegurarse suficiente poder de voto.

Este método elude las auditorías de código clásicas: el contrato inteligente subyacente puede ser técnicamente correcto mientras el ataque tiene éxito igualmente, porque lo que se manipula es la propia votación de gobernanza.

Qué significa esto para los usuarios

Para los inversores minoristas y los usuarios activos de DeFi, la lección principal es que la seguridad va más allá de confiar simplemente en un contrato inteligente auditado. Algunos puntos prácticos a tener en cuenta:

• Sea cauteloso al autorizar el acceso a tokens para protocolos desconocidos o nuevos.
• Examine con atención las propuestas de gobernanza, especialmente aquellas con instrucciones técnicas inusuales.
• Guarde las cantidades más grandes preferiblemente en una wallet de hardware en lugar de una hot wallet conectada a plataformas DeFi.
• Manténgase alerta ante intentos de phishing disfrazados de solicitudes de gobernanza o votación.

Conclusión

El cambio de los fallos técnicos en contratos inteligentes a las cuentas secuestradas y las votaciones de gobernanza manipuladas muestra que la seguridad DeFi se ha convertido en una cuestión más amplia que las meras auditorías de código. Los usuarios deben seguir sopesando los riesgos con cuidado, mantenerse críticos ante las solicitudes de gobernanza y guardar las cantidades sensibles fuera de línea siempre que sea posible.

Fuentes: Chainalysis, Bonk DAO. Última comprobación: 8 de julio de 2026.