Las pérdidas en exchanges centralizados y DeFi dominan los hacks cripto de 2026 a pesar de las fallas en hardware wallets

Los hacks cripto han producido aproximadamente $2.35 mil millones en pérdidas netas en lo que va de 2026 tras congelamientos y devoluciones, según un informe de Lightning.news compartido con Bitcoin Magazine. Un investigador de seguridad llamado Stacy Muur publicó en X y compiló "una lista de protocolos que fueron hackeados por más de $50,000 en 2026." 230 protocolos en lo que va del año. "La seguridad cripto está absolutamente arruinada."

Solo septiembre representó aproximadamente $768 millones en el recuento de Muur, impulsado principalmente por exchanges centralizados y DeFi en lugar de hardware wallets de autocustodia pura de Bitcoin, que recibieron una cobertura significativa en los medios en ese momento. La mayor pérdida individual fue el drenaje de Bitget el 24 de septiembre de aproximadamente $387.5 millones de hot y warm wallets. El exchange y firmas como Chainalysis, Elliptic y TRM Labs han vinculado el incidente con Corea del Norte, citando patrones de IP consistentes con el uso previo de VPN vinculado a la RPDC, superposiciones on-chain con wallets vinculadas a actividades anteriores del Lazarus Group y TraderTraitor, incluido el robo de Bybit en 2025.

Los atacantes utilizaron productos de seguridad de terceros para inyectar comandos de retiro fraudulentos sin tomar las claves privadas. Liquid Network, la sidechain de Bitcoin de Blockstream, sufrió el siguiente mayor golpe cuando los atacantes explotaron un bug del software Elements a principios de septiembre para acuñar aproximadamente 4,000 L-BTC sin respaldo y canjearlos por aproximadamente 4,000 bitcoins reales, valorados cerca de $320 millones en ese momento. Los actores que se autodenominaron white-hat devolvieron 3,400 BTC tras negociaciones realizadas on-chain mediante mensajes OP_RETURN y conservaron aproximadamente 600 BTC.

Ninguna clave de la federación fue comprometida. La pérdida provino de un tipo de bug de inflación en el protocolo de la red Liquid. Samson Mow calificó posteriormente el episodio como parte de una "avalancha de ataques asistidos por IA" que ya había alcanzado otro software adyacente a Bitcoin antes de golpear a Liquid. La red está nuevamente operativa, habiendo cubierto las pérdidas, presumiblemente de los inversores.

Las plataformas DeFi mostraron el mismo patrón de pérdidas concentradas de alto valor. Drift Protocol perdió aproximadamente $285–296 millones en un compromiso de gobernanza y multisig en abril que involucró meses de ingeniería social. Una investigación encargada por el proyecto atribuyó la operación a actores norcoreanos. El puente rsETH de KelpDAO impulsado por LayerZero fue drenado de aproximadamente $292 millones en tokens sin respaldo después de que un diseño de verificador único fuera subvertido. LayerZero declaró que los indicadores preliminares apuntaban al Lazarus Group de la RPDC, específicamente TraderTraitor.

Tectonic en Cronos vio aproximadamente $120.4 millones prestados contra colateral manipulado a finales de agosto. Los validadores posteriormente rebobinaron la cadena y recuperaron la mayor parte, aunque varios millones de dólares que ya habían sido puenteados fuera de la red no fueron restaurados. Los incidentes que involucraron hardware wallets de Bitcoin fueron menores en conjunto a pesar de la amplia cobertura mediática. Galaxy Research situó los valores del hack del RNG de Coinkite en el rango de aproximadamente 1,596–1,789 BTC, del orden de $100–130 millones, con estimaciones superiores más altas cercanas a 2,055 BTC.

Las pérdidas de Ledger de aproximadamente $86–102 millones se remontan a dispositivos vendidos a través del revendedor autorizado del sudeste asiático CryptoBilis, donde un implante de hardware no autorizado capturó frases de recuperación durante la configuración, un ataque de cadena de suministro. La compañía declaró que los casos confirmados se limitaron a la cadena de suministro de ese revendedor y que sus propios sistemas y ventas directas no se vieron afectados, aunque hay informes no confirmados de tales dispositivos con bugs llegando a mercados alemanes. Sin embargo, combinados, estos eventos adyacentes al hardware permanecen muy por debajo de los incidentes individuales más grandes de CEX y DeFi.

El año también ha coincidido con el despliegue práctico de agentes de codificación con IA capaces de escanear bases de código en busca de vulnerabilidades y automatizar el desarrollo de exploits. Muur ha declarado que "la IA definitivamente está haciendo mucho más fácil encontrar y explotar bugs. Creo que estamos entrando en una carrera armamentista de ciberseguridad bastante seria." Los informes señalan que los exploits de fallas de código se aceleraron tras el lanzamiento en febrero de modelos como GPT-5.3-Codex y Claude Opus 4.6, que mostraron altas tasas de éxito en benchmarks de bugs de contratos inteligentes a bajo costo.

OpenAI ha revelado casos de pruebas internas en los que los agentes accedieron a fondos no autorizados de redes de prueba o eludieron controles para completar tareas. La mayoría de los mayores robos del año aún dependieron de vectores tradicionales como compromiso de claves, ingeniería social y fallas de infraestructura, pero la barrera más baja para descubrir y weaponizar bugs agrega una nueva capa de riesgo, particularmente para sistemas complejos de contratos inteligentes y sidechains.

La capa base de Bitcoin en sí no ha sido la fuente de estas pérdidas. La mayor parte del daño de 2026 se ha concentrado en la infraestructura de hot wallets de CEX, la gobernanza de DeFi, los diseños de oráculos y el código de sidechains de Bitcoin, mientras que las hardware wallets de autocustodia pura, incluso cuando son imperfectas, han representado una cantidad notablemente menor. Sin embargo, han surgido llamados de líderes de la industria para actualizar las recomendaciones de autocustodia, impulsando las wallets multisig multivendor como el futuro de la industria de nicho. Esta publicación Centralized Exchange and DeFi Losses Dominate 2026 Crypto Hacks Despite Hardware Wallet Failures apareció primero en Bitcoin Magazine y está escrita por Juan Galt.