1.300 millones perdidos: el ataque cambió de objetivo
📌 En 30 segundos: En los primeros ocho meses de 2026, DeFi perdió al menos 1.300 millones de dólares en hackeos, según crypto.news con datos de CertiK y Forbes. El dato que de verdad importa no es la cifra total: es que, por primera vez registrada, las claves comprometidas superaron a los fallos de código como causa principal de pérdidas. Dos ataques —Drift Protocol (285 millones) y KelpDAO (290 millones)— suman 575 millones, y ambos se atribuyen al mismo actor: el grupo norcoreano Lazarus. Eso
Por El Chartista ·
📌 En 30 segundos: En los primeros ocho meses de 2026, DeFi perdió al menos 1.300 millones de dólares en hackeos, según crypto.news con datos de CertiK y Forbes. El dato que de verdad importa no es la cifra total: es que, por primera vez registrada, las claves comprometidas superaron a los fallos de código como causa principal de pérdidas. Dos ataques —Drift Protocol (285 millones) y KelpDAO (290 millones)— suman 575 millones, y ambos se atribuyen al mismo actor: el grupo norcoreano Lazarus. Eso es el 44% de todo lo perdido en el año, de un solo origen. Vamos a los números.
Aquí El Chartista. Yo no cuento historias de miedo: cuento lo que dicen los datos. Y este año los datos dicen algo incómodo para el sector: las auditorías de código siguen pasando, y el dinero sigue saliendo igual. NFA.
El dato que cambia la foto: dónde falla de verdad la seguridad
Durante años, el relato dominante era "bug de contrato inteligente = hackeo". En 2026 ese relato se rompió. Los dos mayores golpes del año no explotaron ni reentrancia, ni manipulación de oráculo, ni préstamos flash. Explotaron personas:
- Drift Protocol (285 millones, 1 de abril): meses de ingeniería social —contactos, conferencias, confianza construida en persona— hasta obtener autoridad de una clave administrativa. El robo, una vez dentro, tardó 128 segundos.
- KelpDAO (290 millones, 18 de abril): alguien manipuló a un desarrollador de LayerZero para hacerse con sus credenciales de sesión, envenenó la infraestructura que alimentaba al verificador del puente entre cadenas, y acuñó 116.500 rsETH sin respaldo real.
Ambos protocolos habían pasado auditorías. El código estaba limpio. La persona con acceso a la clave, no.
El 44% de un solo nombre
Investigadores de Mandiant, CrowdStrike y Elliptic atribuyeron ambos ataques a TraderTraitor, el subgrupo de Lazarus (Corea del Norte) especializado en cripto. Sumando Drift y KelpDAO: 575 millones de dólares, en apenas 18 días, de un solo actor. Sobre el total de 1.300 millones perdidos en el año, eso es el 44%. Si se suma el hackeo de Bybit de febrero de 2025 (1.500 millones, también atribuido al grupo), el saldo acumulado de Lazarus en 18 meses supera los 2.000 millones.
Este patrón ya lo veníamos viendo en los datos de rugpulls: menos incidentes, cada uno más grande y más profesionalizado. El "hacker solitario" cada vez pesa menos en las cifras; los actores organizados, cada vez más.
Para poner el 44% en perspectiva: la propia lista de rekt.news, que solo cuenta incidentes por encima de 3 millones de dólares, registra más de 30 golpes distintos en lo que va de 2026. Es decir, un único origen se llevó casi la mitad del botín total repartido entre más de treinta ataques diferentes. No es una distribución pareja: es una concentración muy propia de un actor con capacidad de sostener campañas de meses, no de un oportunista de una tarde.
Los puentes, otra vez el eslabón débil
El otro dato que sostiene la tesis: la infraestructura de puentes entre cadenas sigue siendo el punto de fallo favorito. Solo en 2026, además de KelpDAO, cayeron AFX Trade (24,15 millones, cinco firmas de validador comprometidas) y VerusCoin (19,14 millones, en dos golpes al mismo puente). El motivo se repite: pocos verificadores concentran demasiada confianza. LayerZero reconoció que un 47% de sus más de 1.200 contratos siguen operando con un único verificador en vez de una configuración múltiple — la misma que habría frenado el ataque a KelpDAO. La solución existe y está disponible. Casi nadie la usa. El Mecánico ya os habló de esta misma brecha entre lo que existe y lo que se usa de verdad.
📡 Lo que esto significa, en frío
- Una auditoría de código no es una garantía de seguridad operativa. Revisa el contrato, no revisa quién tiene la llave del panel de administración ni cómo la protege.
- El tamaño del protocolo ya no es escudo. Drift era el mayor de perpetuos en Solana; KelpDAO, de los grandes en restaking. Ambos cayeron por el mismo motivo: una persona, no un contrato.
- Si vas a mirar un protocolo antes de meter fondos, la pregunta ya no es solo "¿está auditado el código?". Es "¿cómo gestionan sus claves administrativas, y cuántos verificadores independientes protegen sus puentes?".
- El volumen y la capitalización te hablan del mercado, pero no de esto. Ningún indicador de precio te avisa de una clave mal custodiada; como ya os expliqué con el volumen, hay datos que solo aparecen si los vas a buscar fuera del gráfico de precio.
📡 Cierre del Chartista: Los datos no opinan: solo cuentan. Y este año cuentan que el ataque se movió de línea de código a línea de confianza. 1.300 millones, 44% de un solo actor, y una solución técnica —verificación múltiple, retrasos en claves administrativas— que existe desde hace tiempo y que casi nadie termina de aplicar. Dime tú: cuando evalúas un protocolo, ¿miras algo más allá de "está auditado"? Compara conmigo tu checklist. NFA. 📡
📰 Datos reales: crypto.news (4 de septiembre de 2026), con cifras de CertiK Hack3d H1 2026, Forbes, TRM Labs y rekt.news; atribuciones de Mandiant, CrowdStrike y Elliptic. Metodologías de recuento distintas entre firmas, no siempre sumables. El ángulo es nuestro. Información, no consejo financiero.