-
Bitget, Liquid Network, Tectonic y Coldcard protagonizaron los incidentes más costosos.
-
Cerca de un tercio de las pérdidas brutas quedó sin devolución ni compensación.
Los ataques informáticos contra plataformas y servicios de criptomonedas dejaron pérdidas brutas por USD 1.180 millones durante el tercer trimestre de 2026. El balance, recopilado por la firma de seguridad Hacken, comprende 107 incidentes y representa el periodo más costoso desde el primer trimestre de 2025, cuando el hackeo de Bybit elevó las pérdidas del sector a USD 1.600 millones.
El impacto económico se concentró en pocos episodios. Cuatro incidentes acumularon USD 942 millones, cerca del 80% del total trimestral. Sin embargo, 98 de los 107 casos registrados ocasionaron pérdidas inferiores a USD 10 millones, mientras que la mediana se situó en USD 670.000, destacó el informe.
La principal fuente de pérdidas no fueron los contratos inteligentes, sino los proveedores y componentes de infraestructura. Hacken atribuyó USD 906 millones, equivalentes al 77% del monto bruto, a vulnerabilidades en servicios externos, herramientas de desarrollo y correcciones de seguridad que no se habían instalado, entre otros factores.
Los contratos inteligentes encabezaron la frecuencia de los ataques, con 71 incidentes que generaron pérdidas por USD 228 millones. La diferencia entre ambos indicadores evidencia que las vulnerabilidades más recurrentes no necesariamente son las que ocasionan el mayor daño financiero.
Entre los cuatro casos de mayor impacto figuraron Bitget, con pérdidas estimadas en USD 387 millones; Liquid Network, con USD 320 millones; Tectonic, con USD 120 millones; y una vulnerabilidad en el firmware de Coldcard, asociada con USD 115 millones.
Las respuestas también variaron según el incidente. En Liquid Network, personas que se identificaron como hackers éticos devolvieron USD 272 millones. En Tectonic, los validadores de Cronos revirtieron 114 minutos del historial de la red, lo que deshizo alrededor de USD 111,2 millones de los préstamos afectados. En el caso de Bitget, el fondo de protección de la plataforma cubrió las pérdidas de los usuarios.
Según Hacken, USD 387 millones fueron devueltos o revertidos después de los ataques, mientras que otros USD 410 millones se cubrieron con recursos de los operadores. Pese a estas medidas, unos USD 384 millones quedaron sin devolución ni compensación.
Ante este panorama, la firma recomendó ampliar las auditorías más allá del código de los protocolos e incluir proveedores, sistemas de custodia, puentes, oráculos y herramientas de autorización. El informe advierte que la seguridad también depende de los servicios y componentes externos conectados a cada plataforma, cuya vulneración puede comprometer operaciones incluso cuando los contratos inteligentes han sido revisados.
Guarda lo que vale la pena descifrar