- Blockaid verificó 212 exploits onchain en el primer semestre de 2026, 3,4 veces más que en todo 2025, con pérdidas de 1.100 millones de dólares.
- El grupo norcoreano «Trader Traitor», vinculado a Lazarus, acaparó unos 609 millones de dólares, incluidos los golpes a KelpDAO y Drift Protocol.
- El robo de claves y los fallos de seguridad operativa causaron el 74% de las pérdidas del periodo.
- La inyección de instrucciones maliciosas contra agentes de inteligencia artificial emerge como nuevo vector de ataque.
La primera mitad de 2026 fue el periodo con más amenazas de seguridad onchain jamás registrado, con 212 exploits verificados que sustrajeron 1.100 millones de dólares en conjunto. Así lo recoge el informe semestral de la firma de seguridad Blockaid, difundido este 30 de julio por Bitcoin.com News.
La cifra de incidentes supone 3,4 veces más ataques que los contabilizados en todo 2025, con un pico de 57 casos solo en junio. Apenas cuatro golpes de gran escala concentraron 707 millones de dólares, el 64% de todo lo robado, según el reporte.
Corea del Norte acapara 609 millones de dólares del botín
El informe atribuye unos 609 millones de dólares al clúster «Trader Traitor», un grupo de atacantes vinculado a Lazarus, el conglomerado de hackers al servicio de Corea del Norte que las autoridades de Estados Unidos siguen desde hace años.
Los dos mayores exploits del semestre llevan su firma. En el protocolo de restaking KelpDAO, una campaña de ingeniería social contra un desarrollador de LayerZero terminó con 292 millones de dólares sustraídos; en Drift Protocol, un exchange descentralizado de contratos perpetuos en Solana (SOL), los atacantes tomaron el control de la cartera multifirma y se llevaron 285 millones de dólares.
Cabe recordar que la amenaza norcoreana no se limita al asalto directo de protocolos. Como informó RigMineria, Consensys pausó sus lanzamientos tras detectar un infiltrado norcoreano con acceso a los sistemas de MetaMask, una muestra de que estos actores también se cuelan en las plantillas de las empresas del sector.
El robo de claves causa el 74% de las pérdidas
Más allá de los nombres propios, el dato estructural del informe es otro: los fallos de seguridad operativa y el robo de claves privadas explican el 74% del dinero perdido en el semestre. Los errores de código en los contratos inteligentes, protagonistas de otras épocas, ceden terreno frente al ataque al eslabón humano.
Los casos de KelpDAO y Drift ilustran ese giro: en ambos, la puerta de entrada no fue una vulnerabilidad técnica, sino una persona engañada con acceso privilegiado. Blockaid sitúa la ingeniería social entre las herramientas preferidas de los grupos más sofisticados del periodo.
La inteligencia artificial se estrena como superficie de ataque
La firma identifica tres fronteras de seguridad que emergieron en la primera mitad de 2026, históricamente fuera del alcance de las auditorías tradicionales: los ataques a la delegación de carteras mediante EIP-7702, la inyección de instrucciones maliciosas (prompt injection) contra agentes de inteligencia artificial (IA) y la infraestructura de puentes fuera de la cadena.
EIP-7702 es una mejora reciente de Ethereum (ETH) que permite a una cartera común delegar funciones en un contrato inteligente. Según el informe, los atacantes ya abusan de esas delegaciones para vaciar fondos de usuarios que firman sin revisar lo que autorizan.
El caso más ilustrativo del nuevo frente es el de Bankr: un atacante engañó mediante inyección de instrucciones al agente de IA de la plataforma para que aprobara una transacción no autorizada y se llevó 216.000 dólares. De cara al segundo semestre, Blockaid advirtió que el ecosistema debería prepararse para una «presión continua», con campañas persistentes de ingeniería social de actores estatales sancionados, exploits a escala alrededor de EIP-7702 y «un rápido aumento de los ataques de inyección de instrucciones».
Más ataques que nunca, pero menos dinero que en 2025
Vale aclarar que, pese al récord de incidentes, el botín total es inferior al del primer semestre de 2025, cuando se esfumaron unos 2.300 millones de dólares, 1.500 de ellos en el mega-hackeo a Bybit. Según recoge Crypto Briefing, sin aquel golpe excepcional la comparación jugaría en contra de 2026: la media por exploit ronda ya los 5,2 millones de dólares.
Los datos de la firma de análisis TRM Labs, citados por el mismo medio, apuntan en la misma dirección: 207 incidentes contabilizados y un 66% de las pérdidas —unos 643 millones de dólares— atribuidas a actores vinculados a Corea del Norte. Por cadenas, Ethereum concentró 332 millones de dólares robados y Solana, 326 millones.
El usuario hispano, objetivo creciente de los ataques a carteras
La ola no se queda en los grandes protocolos. En los últimos meses, RigMineria ha informado de campañas que apuntan directamente al bolsillo del usuario de a pie: SparkKitty, un malware que roba frases semilla desde las fotos del móvil, y BlueNoroff, que usa falsas reuniones de Zoom y Teams para colar software espía en equipos de trabajadores del sector. Ambas campañas persiguen lo mismo que señala Blockaid: la clave privada del usuario, no el código del protocolo.
Desde RigMineria observamos que los tres frentes del informe comparten denominador común con esas campañas: el atacante ya no busca el fallo del software, sino el descuido de la persona. Para el lector de España y América Latina —donde buena parte de la operativa cripto pasa por el teléfono móvil— eso convierte la higiene digital básica en la primera línea de defensa, por delante de cualquier auditoría de contratos.
Claves fuera del teléfono y firmas revisadas: cómo blindarse
En medio de este contexto, las medidas de autoprotección más eficaces siguen siendo baratas y al alcance de cualquier inversionista:
- Nunca guardar la frase semilla en fotos, capturas o notas del teléfono: es exactamente lo que malware como SparkKitty rastrea. En papel o metal, y fuera de línea.
- Revisar cada firma y cada delegación antes de aprobarla en la cartera, en especial las autorizaciones de tipo EIP-7702 que ceden el control a un contrato.
- Desconfiar de reuniones e invitaciones inesperadas, aunque lleguen de un contacto que parezca legítimo: es el patrón de BlueNoroff.
- Limitar los permisos de los agentes de IA que operan con fondos propios: sin retiradas automáticas ni acceso total a la cartera.
- Mantener en las plataformas solo el capital operativo y elegir exchanges con historial de seguridad contrastado.
Sin embargo, el propio informe sugiere que la fotografía podría empeorar antes de mejorar. Si las auditorías no se extienden a las nuevas fronteras que señala Blockaid —la delegación de carteras, los agentes de IA y los puentes fuera de la cadena—, la segunda mitad de 2026 podría repetir el patrón del semestre récord; el desenlace dependerá de si la industria blinda esos frentes antes de que los atacantes terminen de industrializarlos.
¿Tienes información para nuestro equipo?
Si conoces una noticia o tienes una filtración, escríbenos de forma confidencial.
