Los hackeos en DeFi se llevaron cerca de 1.300 millones de dólares en la primera mitad de 2026, según el informe Hack3d de CertiK recogido por Forbes. La cifra asusta menos por su tamaño que por su origen. La mayoría del dinero no se perdió por un fallo en el código de los contratos inteligentes, sino por algo más viejo: alguien consiguió las llaves. En 2026, las claves comprometidas mueven la mayor parte del robo cripto.
El dato que resume el año es demoledor. Solo dos incidentes concentraron 575 millones de dólares, el 44% de todo lo robado en el semestre. Además, se registraron más de treinta exploits por encima de los 3 millones cada uno. El patrón se repite tanto que conviene mirarlo de cerca.
No es el código, son las llaves
Durante años, el miedo en DeFi fue el error de programación: una línea mal escrita que un atacante aprovechaba con un flash loan. Ese riesgo sigue ahí, pero ha quedado en segundo plano. Los dos golpes mayores de 2026 no rompieron ningún contrato. Entraron por la puerta del administrador.
El 1 de abril, Drift Protocol perdió 285 millones de dólares. El método fue ingeniería social: los atacantes engatusaron a alguien con acceso a las claves de administrador y colaron un oráculo falso. Diecisiete días después, el 18 de abril, KelpDAO se dejó 290 millones tras el robo de las claves de sesión de un desarrollador de LayerZero, en un puente que dependía de un solo verificador. En ambos casos, el contrato hizo justo lo que le ordenaron. El problema fue quién daba las órdenes.
| Protocolo | Pérdida | Fecha | Vía de entrada |
|---|---|---|---|
| KelpDAO | 290 millones | 18 de abril | Claves de sesión de un desarrollador y puente de un solo verificador |
| Drift Protocol | 285 millones | 1 de abril | Ingeniería social y oráculo falso |
| Coldcard | 130 millones | 30 de julio | Fallo del generador aleatorio en el firmware |
| AFX Trade | 24,15 millones | 22 de julio | Cinco firmas de validador comprometidas |
| VerusCoin | 18,54 millones | mayo y julio | Dos exploits de puente |
Lazarus, el actor detrás del 44%
Los 575 millones de dólares de Drift y KelpDAO no fueron obra de aficionados. Las firmas de seguridad Mandiant, CrowdStrike y Elliptic, junto con la propia LayerZero, atribuyeron ambos ataques al grupo Lazarus, en concreto a su subunidad TraderTraitor. Ese colectivo, vinculado a Corea del Norte, cargó él solo con el 44% de las pérdidas del semestre.
Su técnica favorita no es hackear máquinas, sino personas. Ofertas de trabajo falsas, mensajes que imitan a un colega y descargas trucadas sirven para robar credenciales. Es el mismo tipo de engaños que ya vimos cuando una falsa app de Claude propagó el malware RevStealer. El objetivo final siempre es el mismo: la clave privada.
El hardware tampoco es infalible
La lección clásica es guardar los fondos en frío, fuera de internet. Pero 2026 también golpeó esa certeza. El 30 de julio, un fallo en el generador de números aleatorios del firmware de las carteras Coldcard permitió forzar las semillas de recuperación, con un impacto de 130 millones de dólares según Galaxy Research. Un dispositivo físico no protege si su software genera claves predecibles. Este caso rompe la separación habitual entre los hackeos en DeFi y la custodia personal: aquí el punto débil estuvo en el propio aparato pensado para dar seguridad.
El resto de la lista apunta en la misma dirección. AFX Trade cayó el 22 de julio por cinco firmas de validador comprometidas, y VerusCoin sufrió dos exploits de puente en mayo y julio que sumaron 18,54 millones. Los puentes, que conectan cadenas distintas, siguen siendo el eslabón débil. Concentran mucho valor y a menudo dependen de pocas firmas.
Qué puede hacer el usuario
Para el inversor de a pie en España y América Latina, la conclusión práctica es incómoda pero útil. Auditar el código de un protocolo ya no basta, porque el ataque medio no ataca el código. Conviene revisar quién controla las claves de administrador, cuántas firmas hacen falta para mover fondos y si un puente descansa en un solo verificador, como el que hundió a KelpDAO.
La mayoría de los hackeos en DeFi de este año comparten esa misma raíz humana. Los más de treinta exploits por encima de 3 millones de dólares no exigieron romper matemáticas complejas, sino engatusar a una persona o aprovechar una configuración floja de permisos. Herramientas como las billeteras multifirma, que reparten el control entre varias claves, y los límites de retirada por tiempo reducen el daño cuando una credencial cae. Ninguna elimina el riesgo, pero suben el coste del ataque.
El derrumbe de actividad ya se notaba antes de esta oleada, cuando el capital en DeFi se desplomó en 2026. Con 1.300 millones robados en seis meses y un mismo fallo repitiéndose, la seguridad deja de ser un asunto técnico y pasa a ser el primer filtro antes de depositar un solo euro.