observatorioblockchain.com
El primer cuatrimestre de 2026 ha sepultado cualquier narrativa complaciente sobre la infalibilidad y la seguridad de las finanzas descentralizadas (DeFi). Porque ahora, en medio de un periodo marcado por una sofisticación sin precedentes en los vectores de ataque, el ecosistema DeFi ha sufrido pérdidas que superan los 605 millones de dólares en apenas veinte días del mes de abril.
La noticia central que ha sacudido los cimientos del sector es el masivo exploit de Kelp DAO, donde se drenaron aproximadamente 293 millones de dólares en tokens rsETH, consolidándose como el mayor robo en lo que va del año. Pero este incidente no es un hecho aislado, sino el síntoma de una infraestructura que, a pesar de su madurez teórica, sigue presentando vulnerabilidades críticas en la implementación de puentes (bridges) y la gestión de oráculos.
La anatomía del desastre: Kelp DAO y el efecto contagio
El ataque contra Kelp DAO expuso la fragilidad de los sistemas interconectados. En primer lugar, el atacante logró vulnerar el adaptador de rsETH, una herramienta diseñada para facilitar el depósito de tokens de staking líquido, drenando fondos que rápidamente se dispersaron a través de múltiples protocolos. Este evento no solo afectó a Kelp; sino que provocó un «contagio cross-protocol» que obligó a plataformas líderes como Aave a congelar sus mercados de rsETH para evitar un colapso sistémico.
Drift Protocol: ¿por qué Claude Mythos ha dejado obsoletas las auditorías DeFi?
Básicamente y para explicarlo en palabras más llanas: el ataque en Kelp DAO ha dado origen al equivalente DeFi de una «corrida bancaria», ese evento catastrófico que destruye bancos y economías. Si bien, el nivel del evento es pequeño, el hecho de que un hack en Kelp DAO afecte a los usuarios de $AAVE y nos les permita realizar retiros de sus tokens asociados, te da una idea del enorme problema que esto significa. Y es que aquella promesa de DeFi sobre «seguridad y descentralización» se está haciendo añicos frente a nuestros ojos, mientras que los founders y CEOs, intentan hacer control de daños y maquillar la situación.
Efecto cascada
Pero lo peor no es eso, sino que la gravedad de este suceso radica en que el exploit no se originó por un error de código convencional en un contrato inteligente, sino por una configuración defectuosa en la mensajería entre cadenas (cross-chain messaging). Los desarrolladores han advertido que «el sistema funcionó según lo diseñado», pero la arquitectura de capas y las asunciones de confianza entre protocolos crearon un punto único de falla que los atacantes explotaron con precisión quirúrgica.
Curiosamente, cuando los MEV bots, liquidity providers y block builders y proposal, se robaron 50 millones de dólares de un usuario de $AAVE despistado, el protocolo también funciono «como lo esperaban».
Un patrón de negligencia
En un análisis de @CipherResearchx, sobre los incidentes ocurridos en el primer trimestre de 2026, el investigador revela que los atacantes han desplazado su interés desde las plataformas consolidadas, hacía proyectos de crecimiento rápido con auditorías más laxas. Entre los vectores de ataque más recurrentes este año destacan:
- Manipulación de Oráculos: Protocolos como Truebit y Silo Finance sufrieron pérdidas significativas debido a ataques de desbordamiento (overflow) y configuraciones erróneas en sus fuentes de precios, permitiendo retiros de capital injustificados.
- Vulnerabilidades en Puentes: El caso de Hyperbridge es emblemático, donde se utilizaron mensajes falsos para acuñar criptoactivos falsificados por valor de 1.2 mil millones de dólares, aunque la falta de liquidez limitó el robo efectivo a una fracción menor.
- Compromiso de Infraestructura: El ataque a Step Finance, que resultó en la pérdida de 27.3 millones de dólares, no fue un fallo de smart contract, sino un compromiso de claves privadas mediante ingeniería social dirigida a sus ejecutivos.
Sin embargo, esto no significa que las plataformas consolidadas estén a salvo, por el contrario, en muchos casos, significa que los problemas se multiplica.
La razón es que los protocolos consolidados muchas veces forman alianzas con estos nuevos protocolos, buscando ofrecer medios de ganancia rápida a sus usuarios, siendo generadores de liquidez. Liquidez que puede verse drenada por la laxa seguridad del nuevo protocolo en un ataque, tal como ha pasado con Kelp DAO y $AAVE, donde el hack ha afectado el nivel de liquidez de $AAVE par rsETH, impidiendo que los usuarios de $AAVE puedan hacer retiro de su dinero.
La industria cripto genera fortunas pero suspende al explicar de dónde vienen
El factor humano y el fallo de gobernanza en Drift Protocol
Otro pilar de la supuesta seguridad DeFi que se ha derrumbado es la gobernanza descentralizada. Un ejemplo de ello lo podemos ver en el caso de Drift Protocol. Este protocolo que perdió 280 millones de dólares el 1 de abril de 2026, es una lección sobre cómo la paciencia y la ingeniería social pueden derrotar a la mejor tecnología. El atacante, disfrazado de una firma de trading cuantitativo durante meses, logró infiltrarse en el círculo de confianza del equipo.
A través de la creación de cuentas de «nonce» duraderas y la manipulación de las firmas del Consejo de Seguridad, el atacante obtuvo derechos de administrador justo después de una migración de contratos que eliminó temporalmente los bloqueos de tiempo (timelocks). En menos de 20 minutos, el protocolo fue vaciado, demostrando que la seguridad no es solo una cuestión de código, sino de procesos operativos y vigilancia institucional.
Estadísticas que desmienten la robustez del sector
Para dimensionar la crisis actual, hay que tener en cuenta que el acumulado de 2026 ya supera los 1.000 millones de dólares drenados, una cifra impulsada drásticamente por el fatídico mes de abril que, por sí solo, ha eclipsado las pérdidas de todo el trimestre anterior.
La aceleración de estos ataques es particularmente preocupante. Solo en el breve lapso de 14 días previos al 16 de abril, se contabilizaron 12 incidentes independientes. Entre ellos, destacan eventos que subrayan la vulnerabilidad de las capas externas a la cadena de bloques, como el secuestro de DNS en CoW Swap, donde los atacantes redirigieron el tráfico hacia interfaces fraudulentas, y la sofisticada manipulación de reservas en la BNB Smart Chain, que resultó en la sustracción de 1.67 millones de dólares mediante el uso de préstamos flash (flash loans).
Web3Auth elimina el miedo a perder las 12 frases semilla cripto
El cambio de paradigma: De errores de código a fallos de sistema
Así, la tendencia observada marca un punto de inflexión estratégico por parte de los grupos cibercriminales. Los atacantes están «subiendo en la pila tecnológica», desplazando su enfoque desde el código fuente de los contratos inteligentes hacia la infraestructura crítica que los sostiene.
KelpDAO sufre un robo de 292 millones y DeFi entra en pánico
Y en comparación con las estadísticas de 2025, el punto de atención es claro: mientras que los exploits directos a smart contracts representaron apenas el 12% de las pérdidas totales, los ataques a la infraestructura (que incluyen DNS, credenciales de servicios en la nube y brechas en proveedores de monederos) fueron responsables del 76% de los fondos drenados.
Este giro táctico tiene implicaciones profundas para la seguridad de cualquier activo digital:
- Auditorías ineficientes: Una auditoría de contratos inteligentes, por más exhaustiva que sea, es incapaz de detectar una vulnerabilidad en el proveedor de dominios de la plataforma o una gestión deficiente de las claves de acceso a servidores.
- Aumento del payout promedio: Los ataques a nivel de infraestructura suelen ser más rentables. Al comprometer un puente (bridge) o un oráculo, el atacante no solo accede a un contrato, sino a la liquidez interconectada de múltiples protocolos, generando un «efecto dominó» que maximiza el botín.
- Profesionalización del cibercrimen: Se ha detectado un uso creciente de Inteligencia Artificial para realizar ataques de phishing de alta precisión y deepfakes dirigidos a empleados clave de los protocolos, logrando obtener acceso a billeteras calientes (hot wallets) sin necesidad de escribir una sola línea de código malicioso.
La necesidad de fortalecer el ecosistema
A día de hoy, la realidad es que DeFi no es un refugio seguro por defecto. Es un ecosistema de experimentación financiera donde la custodia de los criptoactivos sigue dependiendo de una cadena de seguridad cuyo eslabón más débil suele ser el factor humano o la configuración de red.