Arturo TrenardPérdidas por Hackeos Web3 Alcanzan $464 Millones en Q1 2026, con el Phishing como Principal Amenaza
Los proyectos Web3 sufrieron pérdidas por 464.5 millones de dólares debido a hackeos y estafas en el primer trimestre de 2026, según un reporte de la firma de seguridad blockchain Hacken. Un fraude masivo con billeteras hardware y el creciente escrutinio regulatorio marcan un trimestre donde los fallos operativos superaron a los exploits de código.
El Panorama de las Pérdidas en Q1 2026
El sector registró 43 incidentes de seguridad entre enero y marzo, de acuerdo con el informe. La categoría más costosa fue el phishing y la ingeniería social, con 306 millones de dólares, lo que representa el 65.9% del total. Un único fraude de enero, que involucró billeteras de hardware, fue responsable de 282 millones de dólares, concentrando el 81% del daño económico del período.
En comparación con el primer trimestre de 2025, las pérdidas muestran una reducción significativa. Esta disminución se explica principalmente por la ausencia de un incidente de magnitud extraordinaria como el hackeo a Bybit de hace un año, que por sí solo supuso pérdidas de 1,460 millones de dólares. Así, el Q1 de 2026 se posiciona como el segundo primer trimestre con menores pérdidas desde 2023.
Un Cambio en el Frente de Ataque: Más Allá del Código
El reporte identifica una evolución crítica en los vectores de ataque. Las mayores brechas de seguridad ya no se encuentran predominantemente en los contratos inteligentes, sino en las capas operativas y de infraestructura.
El Declive de los “Mega Hackeos” y el Auge de las Amenazas Operativas
Yev Broshevan, CEO y cofundador de Hacken, declaró a Cointelegraph que los fallos más costosos en la actualidad “suceden completamente fuera de la capa de código”. Según el análisis, los ataques se centran ahora en la gestión de claves privadas, los servicios en la nube y la manipulación humana.
Casos Emblemáticos del Trimestre
Los incidentes del trimestre ejemplifican esta tendencia. Además del masivo ataque de phishing, se destacan varios casos específicos:
- Step Finance perdió aproximadamente 40 millones de dólares tras una llamada falsa de un supuesto capitalista de riesgo.
- Resolv Labs sufrió un robo de 25 millones debido al compromiso de su servicio de gestión de claves en AWS.
- Truebit perdió 26.4 millones por un bug en un contrato Solidity legacy.
- Venus Protocol fue víctima de un ataque de “donación”, un patrón conocido desde 2022.
Una paradoja notable es que seis proyectos que habían sido auditados previamente, incluidos Resolv (con 18 auditorías) y Venus (con 5), acumularon pérdidas por 37.7 millones de dólares. El informe sugiere que los protocolos con mayor valor total bloqueado (TVL) atraen inevitablemente ataques más sofisticados.
La Respuesta Regulatoria se Intensifica
El primer trimestre de 2026 también estuvo marcado por un endurecimiento global de los marcos regulatorios para el sector cripto:
- En la Unión Europea avanzó la aplicación de los reglamentos MiCA y DORA.
- Dubái introdujo ajustes en su “Technology and Information Rulebook” de la Autoridad de Activos Virtuales (VARA).
- Singapur implementó nuevas reglas que exigen la notificación de incidentes en una hora.
- Los Emiratos Árabes Unidos establecieron una nueva Autoridad del Mercado de Capitales con mayores poderes de supervisión.
Ante este panorama, Hacken propone un nuevo estándar de seguridad “listo para reguladores”. Este modelo incluiría atestaciones proof-of-reserves, monitoreo on-chain las 24 horas, interruptores automáticos y protocolos estandarizados de notificación de incidentes.
La Amenaza Persistente en la Capa Humana
El informe señala a los clústeres de hackers asociados a Corea del Norte como la amenaza operativa más persistente para el ecosistema. El ataque a Step Finance y una brecha anterior en Bitrefill siguen un “playbook” establecido que, según Hacken, permitió a estos grupos extraer aproximadamente 2.04 mil millones de dólares del sector durante todo el año 2025.
Sus tácticas se centran en la capa humana e incluyen el contacto falso por parte de supuestos capitalistas de riesgo, el uso de herramientas maliciosas durante videollamadas y el compromiso de los dispositivos de empleados. Este modus operandi refuerza la conclusión del reporte: la batalla por la seguridad Web3 se está librando cada vez más lejos del código on-chain, en los eslabones más vulnerables de la cadena operativa.
