Pérdidas en Web3 superan los $3.950M en 2025: Corea del Norte y Fallos Operativos son los Principales Responsables
El Informe de Seguridad 2025 de Hacken revela un aumento del 38% en las pérdidas totales del ecosistema, superando los $3.950 millones. El análisis identifica un cambio de paradigma: más de la mitad de las pérdidas se atribuyen a grupos vinculados a Corea del Norte, y la principal vulnerabilidad ya no son los bugs en los contratos inteligentes, sino los fallos catastróficos en la seguridad operativa y el control de accesos.
Introducción: Un Año Récord con una Lección Clara
El “Hacken 2025 Yearly Security Report” presenta una cifra que resuena en toda la industria: $3.950 millones en pérdidas. Este número representa un incremento alarmante del 38% (unos $1.100 millones) respecto a 2024. Más allá del impacto financiero, el informe ofrece una claridad crucial: el problema sistémico se ha desplazado hacia las debilidades operativas y los fallos en la gestión de accesos.
Agravando este panorama, un actor destaca de forma desproporcionada: los grupos de amenazas vinculados a Corea del Norte, responsables de más de la mitad del botín total. Este dato subraya la sofisticación y el enfoque de los actores estatales en el ciberespacio.
El Panorama de las Pérdidas en 2025: Tendencias y Atribución
Análisis Temporal: De un Pico Devastador a una Amenaza Persistente
La distribución de los ataques en 2025 es reveladora. El primer trimestre (Q1) fue catastrófico, con pérdidas que superaron los $2.000 millones. En contraste, el cuarto trimestre (Q4) mostró una reducción significativa, con alrededor de $350 millones en pérdidas.
Los analistas de Hacken advierten que esta disminución no debe interpretarse como una mejora en la seguridad, sino probablemente como un cambio táctico o una fase de consolidación por parte de los atacantes. Este patrón señala un riesgo operativo sistémico y persistente, no una serie de incidentes aislados.
El Actor Predominante: La Sombra de Corea del Norte
El informe atribuye aproximadamente el 52% de todos los fondos robados en 2025 a grupos vinculados a Corea del Norte. Este porcentaje abrumador está impulsado en gran medida por un solo evento: el mega-hack de Bybit, catalogado como el mayor robo único registrado en la historia de las criptomonedas, con una pérdida de casi $1.500 millones.
Este caso emblemático no solo infla las estadísticas, sino que ilustra a la perfección la sofisticación y el enfoque de “caza mayor” (big game hunting) de estos actores, que buscan objetivos de alto valor con precisión.
El Cambio de Paradigma: Control de Accesos vs. Código
El Verdadero Talón de Aquiles: Fallos Operativos
Este es el hallazgo más crucial del informe. Las pérdidas directamente atribuidas a fallos de control de acceso y seguridad operativa ascendieron a $2.120 millones, lo que representa aproximadamente el 54% del total.
En marcado contraste, las pérdidas por vulnerabilidades explotadas en smart contracts fueron de $512 millones. La conclusión es ineludible: en términos de impacto financiero, la seguridad “humana” y procedural demostró ser más de 4 veces más crítica que la seguridad del código puro.
Ejemplos Concretos de Malas Prácticas
El informe detalla prácticas negligentes que se han convertido en la puerta de entrada preferida para los atacantes:
- Uso de claves privadas débiles o únicas para gestionar protocolos completos o bóvedas de tesorería.
- Compromiso de firmantes (signers) a través de phishing dirigido o malware.
- Procesos de desvinculación (off-boarding) descuidados, sin revocar accesos a sistemas críticos.
- Falta generalizada de sistemas avanzados de Detección y Respuesta en Endpoints (EDR).
La Brecha de Implementación: Regulación vs. Realidad Operativa
La Regulación Avanza, pero la Industria se Queda Atrás
Mientras marcos regulatorios como MiCA en Europa comienzan a esbozar requisitos de seguridad, existe una desconexión peligrosa con la realidad. Yehor Rudystia de Hacken señala que, aunque los reguladores piden control de acceso basado en roles (RBAC), registro de actividad (logging) robusto y custodia institucional, la adopción es lenta.
La cruda realidad es que “al ser los requisitos regulatorios solo principios que se están volviendo obligatorios, muchas empresas de Web3 continuaron siguiendo prácticas inseguras a lo largo de 2025.” Esta brecha entre el “deber ser” y el “es” fue explotada sin piedad.
Recomendaciones Clave para las Empresas
Para cerrar esta brecha en 2026, Hacken enfatiza una lista no negociable de mejores prácticas:
- Realización de pruebas de penetración regulares que simulen ataques de ingeniería social.
- Ejecución de simulaciones de incidentes para probar los planes de respuesta.
- Revisiones periódicas y auditorías de los controles de custodia de activos.
- Auditorías financieras y de controles independientes que evalúen procesos más allá del código.
El Camino a Seguir en 2026: De la Guía a la Obligación
2026: El Año de la Madurez en Seguridad Operativa
Yevheniia Broshevan, CEO de Hacken, ve una “oportunidad significativa” para que la industria eleve su nivel de seguridad, mediante la adopción de protocolos de hardware de firma dedicado y herramientas de monitoreo avanzadas. La expectativa es clara: la mejora en 2026 vendrá por la presión combinada de los requisitos regulatorios obligatorios y la adopción forzosa de estándares más seguros por parte del mercado.
Un Enfoque Específico para una Amenaza Específica
Dada la amenaza desproporcionada de Corea del Norte, Rudystia propone a reguladores un enfoque específico:
- Compartición de inteligencia de amenazas en tiempo real sobre tácticas norcoreanas.
- Evaluaciones de riesgo obligatorias centradas en defenderse de phishing y compromiso de endpoints.
- Implementación de penas graduadas y significativas por el incumplimiento de controles básicos.
- Establecimiento de protecciones de “puerto seguro” (safe-harbor) para plataformas que demuestren defensas validadas.
Conclusión: Más Allá de los Números
El informe de Hacken para 2025 marca un punto de inflexión. Las pérdidas récord son el síntoma de un mal sistémico impulsado por fallos operativos evitables y explotado por grupos norcoreanos altamente especializados.
El mensaje es inequívoco: la próxima batalla por la confianza en el ecosistema cripto no se librará únicamente en el código de un smart contract, sino en las políticas de acceso, los procedimientos de custodia y la cultura de seguridad operativa de cada empresa.
Para los inversores, esto significa exigir transparencia sobre estas prácticas. Para los proyectos, implica priorizar la seguridad operativa con la misma urgencia que una auditoría de código. Y para los reguladores, representa la necesidad de transformar principios en obligaciones ejecutables. El camino hacia un Web3 más seguro en 2026 está pavimentado con controles de acceso rigurosos, custodia robusta y una vigilancia operativa constante. La lección de los $3.950 millones está sobre la mesa. Ahora es el momento de actuar.
