Las criptomonedas son hackeadas más a menudo, no menos. El drenaje de Liquid Network muestra el problema real: $1.5 millones gastados para proteger $5 mil millones en activos.
# Por qué las criptomonedas siguen siendo hackeadas — $1.5M para proteger $5 mil millones
Conclusiones clave
- Las criptomonedas están siendo hackeadas más a menudo, no menos: aproximadamente $1.4 mil millones robados en 250 ataques en 2026, frente a $2.7 mil millones en 146 en 2025 — robos promedio más pequeños, frecuencia mucho mayor.
- El hackeo de [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) expuso el podrido incentivo subyacente: un presupuesto de seguridad de $1.5 millones protegiendo $5 mil millones en activos — un gasto del 0.03%.
- El autodenominado "white hat" devolvió 3,400 BTC y conservó 598.5 BTC (~$47 millones) como una recompensa autodesignada — aproximadamente 30 veces el presupuesto de seguridad completo.
- Las claves comprometidas y la ingeniería social — no los errores de contratos inteligentes — superaron a los exploits de código como la causa principal de las pérdidas de DeFi por valor en dólares este año.
- La lección duradera: el riesgo de seguridad es ahora un insumo de primer orden y valorable, y los sobrevivientes serán los protocolos que financien la seguridad como un producto central, no como una ocurrencia tardía.
El 6 de septiembre de 2026, alguien se llevó aproximadamente 4,000 Bitcoin — unos $320 millones — de la billetera de la federación que respalda Liquid, la sidechain de Bitcoin de Blockstream. No fue una clave robada. El multisig 11-de-15 resistió, y las claves de autorización de peg-out nunca fueron tocadas. Un extraño encontró un fallo en Elements, la base de código de código abierto en la que se ejecuta Liquid, acuñó L-BTC que ningún Bitcoin real respaldaba y lo canjeó por la puerta principal como un cliente normal. La reserva cayó de 4,200 BTC a 197 BTC en unos 23 minutos.
Luego vino la parte extraña. El atacante no huyó. Escribieron "we are whitehats. contact us on chain" en una transacción de Bitcoin y comenzaron a negociar un reembolso de $320 millones en público, un mensaje OP_RETURN a la vez. Un día después, devolvieron 3,400 BTC — el 85% del botín — y conservaron 598.5 BTC, unos $47 millones, como una recompensa autodesignada.
Aquí está la cifra que debería hacer que todos los fundadores, traders y LPs se pongan alerta: el 9 de septiembre, el atacante le dijo al mundo que Blockstream había asignado solo $1.5 million para asegurar $5 billion en activos. "Su negligencia en el deber es obvia," escribieron, amenazando con quedarse con el resto a menos que Blockstream pagara una recompensa del 10%.
Esa proporción es toda la historia de la seguridad cripto en 2026. No es un fallo técnico. Es un fallo de incentivos. Si quieres entender por qué las criptomonedas siguen siendo hackeadas, deja de leer los post-mortems de smart-contract y empieza a leer la hoja de cálculo de presupuestos.
## ¿Por qué la superficie de ataque se movió del código a las personas?
Durante una década, la industria trató la seguridad como un problema de revisión de código: más auditores, más verificación formal, más bug bounties para reentrancy y overflow. Los atacantes simplemente subieron en la pila. En 2026, los ataques de claves comprometidas superaron a los exploits de smart-contract como la principal causa de pérdidas en DeFi por valor en dólares — porque ahí es donde ahora reside el valor sin proteger.
Mire el peor robo individual del año. En abril, [Drift Protocol](https://drift.trade), el mayor exchange de perpetuos de Solana, perdió unos $285 million. No fue un bug. Fue una operación de inteligencia norcoreana de seis meses (rastreada como UNC4736, o AppleJeus). Los operativos se hicieron pasar por una firma de trading cuantitativo, se reunieron cara a cara con contribuyentes en conferencias en varios países y depositaron más de $1 million de su propio capital para ganar credibilidad. Luego comprometieron a dos contribuyentes — uno a través de un repositorio de código malicioso, otro a través de una app falsa de wallet TestFlight que explotaba una falla de ejecución de código silenciosa en VSCode y Cursor. Los contratos de Drift habían sido auditados por Trail of Bits en 2022. Auditoría limpia, drenados en doce minutos a través de un multisig 2-of-5 con zero timelock.
Mismo patrón, día diferente: KelpDAO perdió aproximadamente $292 million cuando un atacante alimentó datos falsos a su único verificador de confianza. Tectonic perdió alrededor de $75 million por colateral escaso y un oracle de pump-and-dump. Coldcard perdió $115–130 million por un bug de número aleatorio en el firmware. Ninguno de estos fueron zero-days ingeniosos. Fueron puntos únicos de confianza, privados de defense-in-depth.
La frecuencia es la clave. $1.4 billion en 250 ataques en 2026, frente a $2.7 billion en 146 en 2025. Menos dólares, muchos más incidentes: el robo promedio es más pequeño, más rápido y cada vez más automatizado. Los puentes y la infraestructura cross-chain representan ahora 26 ataques (más del 10% del total), frente a solo 3 en 2025. Esta es la profesionalización del robo: una larga cola de atacantes semiautomatizados explotando los márgenes desfinanciados del ecosistema.
## ¿Quién gana cuando un "white hat" se queda con $47 million?
El CTO de Ledger, Charles Guillemet, calificó el episodio de Liquid como "más parecido a una extorsión que a un hacking white-hat". Tiene razón sobre el método: vaciar primero y negociar después es coerción, no una divulgación responsable. Pero la parte incómoda es la cifra. Una vulnerabilidad que puede vaciar $320 million en 23 minutos vale millones según cualquier estándar serio de recompensas. La única razón por la que esto se lee como un escándalo es que Blockstream nunca valoró el riesgo por sí misma. El atacante hizo la valoración por ellos y, perversamente, el mercado está de acuerdo en silencio.
Los ganadores son fáciles de nombrar. Los investigadores de seguridad que han pasado años suplicando por recompensas reales acaban de recibir la propuesta de reclutamiento más fuerte imaginable: la prueba viviente de que el beneficio de encontrar el gran fallo es enorme. Los auditores, las aseguradoras y las firmas de monitoreo ganan; la demanda de sus servicios está a punto de dispararse. Los atacantes ganan, obviamente.
Los perdedores: los holders de L-BTC cuyos fondos permanecieron congelados mientras la red se mantenía pausada, confiando en una sidechain cuyos operadores gastaron el 0.03% del valor en riesgo para protegerla. Y la reputación de Blockstream es la que sufre el golpe más profundo: esta no era una startup improvisada, es la empresa más seria de Bitcoin en el espacio, e incluso ella desfinanció la seguridad por órdenes de magnitud.
## ¿Ha pasado esto antes o es algo nuevo?
Existe un largo historial de hackers que devuelven los fondos robados: Poly Network en 2021 ($610 millones, todos devueltos), Euler en 2023 ($197 millones, la mayoría devueltos). Pero esos fueron ladrones que fueron atrapados y eligieron la restitución. Lo que diferencia a Liquid es el encuadre: el atacante se presentó como un white hat antes de que el robo fuera siquiera descubierto, y luego usó los fondos devueltos como palanca para extraer una concesión pública.
Esa es una categoría nueva: llámalo ransomware con un formulario de divulgación. Y solo funciona debido al problema más profundo y antiguo: los presupuestos de seguridad de las criptomonedas están grotescamente mal asignados en relación con el valor en riesgo. El incidente de Liquid es simplemente la primera vez que un atacante instrumentaliza públicamente el presupuesto de seguridad de un proyecto como argumento para el delito. Es un marcador de madurez, de una manera perversa: los atacantes ahora entienden mejor la economía de las criptomonedas que muchos fundadores.
## ¿Hacia dónde se dirige esto en los próximos tres años?
Tres predicciones, ninguna de ellas sobre precios. Primero, el gasto en seguridad se profesionalizará o los protocolos serán saqueados. La proporción de $1.5 millones a $5 mil millones es indefendible y ahora es pública; espere que los proyectos serios converjan en puntos básicos de un solo dígito del TVL asignados a la seguridad, como mínimo, y espere que el resto sea saqueado por completo.
Segundo, el "white hat con una pistola" se convertirá en una característica reconocida, aunque fea, del panorama. Ya sea que los reguladores lo llamen extorsión o los tribunales lo llamen robo, los incentivos están fijados: un desconocido encontró un error crítico y fue pagado 30 veces el presupuesto de seguridad total de la víctima. Eso volverá a suceder, porque el mercado sigue financiando el premio.
Tercero, el seguro y la certificación se convierten en la fosa. Los protocolos que sobrevivan a la depuración de 2026–2027 no serán los que tengan los contratos más ingeniosos; serán los que tengan equipos de seguridad reales, recompensas reales, timelocks y cobertura. DeFi está a punto de volverse aburrida, y lo aburrido es precisamente lo que las instituciones están esperando.
## ¿Qué significa esto para los traders?
Trata el riesgo de seguridad como un input de primer orden y cuantificable, de la misma manera que tratarías la liquidez o el riesgo regulatorio, no como una nota al pie. El "descuento por hackeo" es real y compuesto: el TVL de Tectonic colapsó de $121.7 millones a aproximadamente $3 millones después de su explotación. Cuando un protocolo es hackeado, la liquidez no regresa. La asimetría es brutal: no estás siendo compensado por el riesgo de cola de estacionar capital en un puente de verificador único o en un mercado de préstamos sin auditar.
La concentración es la correlación oculta. L-BTC, las sidechains federadas y los puentes de verificador único parecen una exposición a "Bitcoin" o "ETH", pero llevan un riesgo de software y contraparte que el activo base no tiene. La cadena base no fue hackeada; el envoltorio sí. Si tu tesis es "quiero exposición a Bitcoin", mantener una versión envuelta o de sidechain añade silenciosamente un riesgo por el que no estás siendo pagado.
Y la observación de palas y picos: el tema recurrente que se compone a través de cada ciclo de hackeos no es un token, sino el stack de seguridad. Los auditores, aseguradoras, empresas de monitoreo y los protocolos que financian adecuadamente la seguridad son donde se acumula el valor duradero. No es una recomendación; solo una nota sobre dónde se encuentra ahora el recurso genuinamente escaso de la industria: la confianza.
## La cuenta siempre llega
Blockstream probablemente compensará a los tenedores de L-BTC — Adam Back dijo que el peg se cubrirá 1:1. El dinero, al final, volverá en su mayoría. Pero la lección no se desimprimirá: una industria que recaudó miles de millones para marketing y lanzamientos de tokens gastó $1.5 millones para proteger $5 mil millones — y un desconocido con un editor de texto tuvo que mostrarle la matemática, a punta de pistola, por 30 veces el presupuesto.
La próxima vez que alguien pregunte por qué el cripto sigue sufriendo hackeos, no le muestres un análisis post-mortem. Muéstrale la hoja de cálculo.
## FAQ
¿Por qué el cripto sigue sufriendo hackeos en 2026?
La causa principal de las pérdidas ha cambiado de errores en contratos inteligentes a claves comprometidas, verificadores únicos e ingeniería social. Los atacantes se han movido hacia arriba en la pila, hacia las capas humana e infraestructural, porque es donde el valor permanece sin protección.
¿El "white hat" de la red Liquid fue un white hat real?
Debatible. El atacante devolvió el 85% de los fondos, pero se quedó con aproximadamente $47 millones y amenazó con retenerlos sin una recompensa del 10%, lo que Charles Guillemet, CTO de Ledger, y otros calificaron como "más parecido a una extorsión que a un hackeo white-hat".
¿Cuánto gastó Blockstream en seguridad?
El atacante reveló que Blockstream asignó alrededor de $1.5 millones para asegurar aproximadamente $5 mil millones en activos en Liquid — aproximadamente 0.03%.
¿El hackeo de Liquid comprometió al propio Bitcoin?
No. La capa base de Bitcoin quedó intacta. El error residía en Elements, el software que impulsa la sidechain de Liquid, y en la infraestructura federada alrededor del peg. No se comprometieron claves multisig.
¿Cuál es la lección más importante para los usuarios de DeFi?
La seguridad es ahora un riesgo de primer orden y valorable. Concentrar fondos en puentes de verificador único, sidechains federadas o protocolos no auditados añade un riesgo de cola por el cual no se es compensado — y los protocolos hackeados rara vez recuperan su liquidez.