Informe de hacks de DeFi del primer trimestre de 2026: $ 169 M robados mientras los atacantes abandonan los contratos inteligentes por claves privadas e infraestructura en la nube
Los protocolos DeFi perdieron 1.580 millones del primer trimestre de 2025 — pero la mejora en el titular oculta una historia más inquietante. Los atacantes que robaron la mayor cantidad de dinero este trimestre nunca tocaron una sola línea de código de contrato inteligente.
El trimestre en números
Entre el 1 de enero y el 31 de marzo de 2026, DefiLlama catalogó 34 exploits distintos en protocolos DeFi que sumaron aproximadamente 40 millones el 31 de enero. Febrero vio un grupo de incidentes de tamaño medio, incluida una manipulación de oráculos de 8 millones. Marzo cerró con el exploit de Resolv Labs de 52 millones en pérdidas totales en todos los protocolos, según datos de PeckShield.
Estas cifras específicas de DeFi se sitúan dentro de un panorama de seguridad cripto más amplio en el primer trimestre que Cryip estima en más de 285 millones de Drift Protocol el 1 de abril destrozara cualquier sensación de mejora en las condiciones de seguridad.
Los contratos inteligentes ya no son el eslabón más débil
El patrón definitorio del primer trimestre de 2026 es inconfundible: los ataques más costosos evitaron por completo los contratos inteligentes.
**Step Finance ( 4,7 millones a través de las funciones de seguridad del estándar Token22 e intervenciones rápidas a nivel de protocolo — menos del 12 % de lo robado.
**Resolv Labs ( 100 K – 0,20 antes de recuperarse parcialmente a $ 0,56. La causa raíz fue una arquitectura que depositaba confianza absoluta en una sola clave alojada en la nube sin límite de emisión on-chain.
IoTeX Bridge ( $ 8 M, febrero ) — La filtración de claves privadas y los fallos en el control de acceso en la infraestructura del puente cross-chain permitieron el drenaje — un patrón recurrente que continúa amenazando la liquidez entre cadenas.
En conjunto, los compromisos de claves privadas y los fallos en el control de acceso representaron más de $ 70 millones de las pérdidas del primer trimestre — más del 40 % del total — sin explotar una sola vulnerabilidad de contrato inteligente.
Manipulación de oráculos: El riesgo sistémico persistente
Mientras que los ataques a las claves privadas dominaron los titulares, la manipulación de oráculos siguió siendo un arma fiable en el arsenal de los atacantes. El primer trimestre vio exploits relacionados con oráculos que afectaron a Aave V3, Venus Protocol, Moonwell, Blend Protocol y Valinity. Las fuentes de precios que dependen de pools de liquidez poco profundos o fuentes de datos externas mal aseguradas siguen siendo una debilidad sistémica en las primitivas de préstamo.
El exploit de Drift Protocol que ocurrió el 1 de abril ilustró la técnica en su forma más sofisticada. El atacante creó un token falso llamado "CarbonVote Token" ( CVT ), estableció un pool de liquidez de 1. Una vez que el precio manipulado fue aceptado por los oráculos, el atacante usó una clave de administrador comprometida para listar CVT en Drift, aumentó los límites de retiro, depositó cientos de millones de CVT como colateral al precio manipulado y drenó $ 285 millones de casi 20 bóvedas — todo en menos de 20 minutos.
TRM Labs rastreó la preparación hasta el 11 de marzo, cuando se retiraron 10 ETH de Tornado Cash y comenzaron a moverse alrededor de las 09:00 hora de Pyongyang. La atribución apunta a hackers patrocinados por el estado de Corea del Norte — el mismo Lazarus Group detrás del hack de $ 1.400 millones al exchange Bybit en febrero de 2025.
La sombra de Lazarus Group
El Lazarus Group de Corea del Norte continúa proyectando una larga sombra sobre la seguridad cripto. Después de llevar a cabo el mayor robo de criptomonedas de la historia en Bybit — inyectando JavaScript malicioso en la interfaz de Safe{Wallet} a través de la máquina comprometida de un desarrollador — el grupo parece haber refinado su enfoque para objetivos DeFi.
El ataque a Drift Protocol combinó múltiples vectores ( creación de tokens falsos, manipulación de oráculos, compromiso de clave de administrador ) en una sola operación coordinada. Chainalysis informó que el robo de criptomonedas en 2025 alcanzó los $ 3.400 millones en total, con Lazarus Group siendo responsable de una parte sustancial. El patrón de 2026 sugiere que el grupo está apuntando cada vez más a protocolos DeFi donde los puntos únicos de falla en la gestión de claves crean superficies de ataque comparables a los exchanges centralizados.
De auditorías de código a auditorías de infraestructura
Los datos del primer trimestre obligan a reconsiderar cómo la industria piensa en la seguridad. Las auditorías de contratos inteligentes — que pueden costar más de 200.000 — siguen siendo necesarias pero son cada vez más insuficientes.
Las evaluaciones de seguridad modernas en 2026 se han ampliado para incluir revisión de código, análisis estático, pruebas de invariantes, modelado de ataques económicos, pruebas de estrés de oráculos, revisión de gestión de claves, auditorías de configuración de gobernanza, análisis de límites de confianza cross-chain, monitoreo en tiempo de ejecución y planificación de respuesta a incidentes. Las auditorías automatizadas detectan aproximadamente el 70 – 80 % de los fallos de bajo nivel, pero los ataques más devastadores del primer trimestre explotaron los espacios intermedios — dispositivos de desarrolladores comprometidos, políticas de IAM en la nube mal configuradas y una dependencia excesiva de la arquitectura en claves de firma únicas.
La jerarquía de seguridad emergente es clara:
- Los errores en los contratos inteligentes son cada vez menos frecuentes a medida que las herramientas mejoran ( verificación formal, fuzzing, múltiples auditorías independientes )
- La manipulación de oráculos persiste dondequiera que pools de liquidez poco profundos alimenten datos de precios a protocolos de préstamo
- Los ataques a claves privadas e infraestructura son el vector de más rápido crecimiento, explotando la capa humana y operativa que ninguna cantidad de auditoría de código puede solucionar
- La ingeniería social sigue siendo la categoría de ataque más costosa por valor en dólares
Qué deben hacer los protocolos ahora
El cambio de vectores de ataque on-chain a off-chain exige un cambio correspondiente en la postura defensiva.
Gestión de claves: Las claves de tesorería almacenadas en dispositivos utilizados para operaciones ejecutivas diarias representan un riesgo inaceptable. Las billeteras de hardware aisladas ( air-gapped ), los esquemas de firma múltiple con distribución geográfica y las transacciones con bloqueo de tiempo para grandes movimientos ya no son mejores prácticas opcionales — son requisitos básicos.
Infraestructura en la nube: Cualquier protocolo que almacene claves de firma en entornos KMS en la nube debe asumir que esos entornos son objetivos. Las estrategias de defensa en profundidad que incluyen módulos de seguridad de hardware ( HSM ), el endurecimiento de las políticas de IAM y la detección de anomalías en los patrones de uso de claves deben ser estándar.
Salvaguardas on-chain: El exploit de Resolv tuvo éxito en parte porque el contrato inteligente no tenía un límite máximo de emisión — solo verificaba que existiera una firma válida. Los límites programáticos en operaciones críticas ( emisión, retiros, cambios de administración ) proporcionan una red de seguridad incluso cuando las claves están comprometidas.
Resiliencia de oráculos: Los protocolos deben exigir umbrales mínimos de liquidez, múltiples fuentes de precios independientes y precios promedio ponderados en el tiempo ( TWAPs ) para resistir la manipulación de activos recién listados o con poco volumen de negociación.
Mirando hacia el futuro: Q2 2026 y más allá
La disminución interanual del 89 % en las pérdidas por hacks de DeFi parece alentadora hasta que se tiene en cuenta el caso atípico de Bybit que distorsiona las cifras de 2025. Si se elimina el hack de 180 millones — lo que hace que los $ 169 millones del primer trimestre de 2026 sean efectivamente estables, no una mejora drástica.
Con el exploit de $ 285 millones de Drift Protocol marcando ya el primer día de abril, el segundo trimestre comienza con una nota sombría. Los expertos en seguridad esperan que 2026 vea técnicas aún más avanzadas: robo de credenciales, ingeniería social, reconocimiento asistido por IA y exploits de infraestructura cada vez más sofisticados.
La industria DeFi ha resuelto en gran medida el problema de los errores obvios en los contratos inteligentes. El problema que no ha resuelto — y que el primer trimestre de 2026 ha hecho imposible de ignorar — es que los atacantes más peligrosos ya no intentan ser más astutos que su código. Están intentando robar sus claves.
BlockEden.xyz proporciona servicios de API de blockchain de grado empresarial con monitoreo de seguridad integrado y endurecimiento de infraestructura. Para los equipos que construyen protocolos DeFi que necesitan una infraestructura de nodos resiliente, explore nuestro mercado de API para construir sobre cimientos diseñados para durar.