The ack3 H1 2026 DeFi Incident Dataset: Audit Scope Across 135 Security Incidents
Este artículo analiza el Conjunto de Datos de Incidentes DeFi del primer semestre de 2026 para revelar que el 67,6% de los incidentes de seguridad y el 94,4% de las pérdidas atribuidas ocurrieron a través de rutas de ataque fuera del alcance de las auditorías de contratos inteligentes identificadas previas al incidente, lo que demuestra una distinción crítica entre el historial de auditoría a nivel de proyecto y la cobertura específica de la ruta del incidente.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
Imagina el mundo digital del dinero, conocido como Finanzas Descentralizadas o DeFi, como una enorme y bulliciosa ciudad construida enteramente de máquinas invisibles que funcionan por sí solas. En esta ciudad, no hay bancos con gerentes; en su lugar, hay "contratos inteligentes": programas informáticos complejos que mueven el dinero automáticamente basándose en reglas estrictas. Debido a que estas máquinas poseen miles de millones de dólares, la gente contrata "auditores", que son como inspectores de edificios de alta tecnología, para revisar los planos antes de que las máquinas se pongan en marcha. La gran pregunta que todos se hacen es: "Si un edificio tiene el sello de aprobación de un inspector, ¿es seguro?". Este artículo profundiza en esa misma pregunta, pero con un giro. Sugiere que tener un sello no significa que todo el edificio sea seguro; podría significar simplemente que el inspector miró la puerta principal mientras el ladrón se colaba por la ventana trasera. Los autores intentan averiguar con qué frecuencia estos "sellos" realmente cubren la ruta específica que toma un hacker para robar el dinero.
El gran desajuste de la "Auditoría": Cuando los inspectores pasan por alto el peligro real
En la primera mitad de 2026, un equipo de ciberseguridad llamado ack3 decidió jugar a ser detective. Reunieron una lista masiva de 135 desastres de seguridad en la ciudad DeFi, donde los hackers lograron robar la asombrosa cifra de 939,86 millones de dólares. ¡Eso es casi mil millones de dólares que se desvanecieron en el éter digital! El equipo quería resolver un misterio: cuando ocurrieron estos desastres, ¿habían sido los proyectos "auditados" (inspeccionados) de antemano? Y si fue así, ¿miraron realmente los auditores la parte específica del sistema que el hacker rompió?
La respuesta que encontraron es algo parecido a revisar un coche en busca de seguridad. Imagina que contratas a un mecánico para inspeccionar un coche. Él revisa el motor, los frenos y los neumáticos, y le pone una pegatina de "Seguro para Conducir". Pero luego, el coche es robado porque el ladrón forzó la cerradura de la guantera, una parte que el mecánico nunca revisó. El coche fue "inspeccionado", pero la parte específica que falló estaba fuera del alcance de la inspección.
Los investigadores analizaron 68 de estos 135 desastres donde pudieron encontrar los informes de inspección originales. Aquí está la parte impactante: en 46 de esos casos (es decir, el 67,6% de los proyectos inspeccionados), el hacker no rompió la parte que los auditores revisaron. ¡Rompió algo completamente distinto! Tal vez hackearon el servidor que ejecuta el sitio web, robaron una contraseña de una computadora en la nube o engañaron a un puente que conecta dos mundos digitales diferentes. Todas estas son cosas que estaban fuera del alcance de la auditoría.
Cuando observas el dinero perdido, el panorama se vuelve aún más dramático. Los desastres "fuera del alcance" representaron el 94,4% del total de dinero perdido en este grupo. Eso significa que casi todo el efectivo robado provino de proyectos donde los auditores habían mirado la parte equivocada de la máquina.
Para asegurarse de que esto no fuera solo una casualidad causada por dos robos masivos, los investigadores hicieron un pequeño truco matemático. Eliminaron los dos mayores robos (uno fue de 292 millones y el otro de 285 millones) y analizaron el resto. Incluso sin esos gigantes, los desastres "fuera del alcance" seguían representando el 72,1% de las pérdidas restantes. El patrón se mantuvo firme: los auditores a menudo estaban mirando lo incorrecto.
Pero, ¿qué pasa con los 20 incidentos donde el hacker sí rompió la parte que los auditores revisaron? Los investigadores descubrieron que, en estos casos, la "inspección" solía ser bastante vieja. El tiempo promedio entre la auditoría y el hackeo fue de 18 meses. En el mundo tecnológico, eso es como si un arquitecto revisara un plano en 2024, pero el edificio no se termina hasta 2026, y mientras tanto, los constructores cambiaron el cableado, añadieron nuevas habitaciones y reemplazaron las puertas. La "pegatina" seguía ahí, pero el edificio había cambiado.
El artículo también analizó qué fue lo que se hackeó. La categoría más grande fue "otros protocolos", que es un término general para sistemas extraños y complejos que no encajan en cajas simples como "préstamos" o "intercambios". Estos sistemas complejos perdieron la mayor cantidad de dinero, sumando 392,86 millones de dólares. Los puentes (que mueven dinero entre diferentes redes digitales) y los intercambios de futuros perpetuos también fueron objetivos importantes.
Entonces, ¿cuál es la gran conclusión? Los autores no están diciendo que las auditorías sean inútiles. Están diciendo que la etiqueta "Auditado" suele tratarse como un escudo mágico que cubre todo el proyecto, cuando en realidad es más bien un recibo específico para un trabajo específico realizado en un momento específico. Si un proyecto dice: "Fuimos auditados", no significa que todo el sistema sea seguro; solo significa que alguna parte fue revisada en algún momento.
Los investigadores sugieren que debemos dejar de ver la etiqueta "Auditado" como una garantía. En su lugar, debemos preguntar: "¿Revisaron exactamente el código que fue hackeado?" y "¿Hace cuánto tiempo fue esa revisión?". Porque en la rápida ciudad de DeFi, una verificación de seguridad de hace un año podría no protegerte de un nuevo tipo de ladrón hoy. La lección es clara: el hecho de que el inspector haya firmado el papel no significa que toda la casa esté a salvo de los ladrones.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.