Ataques cripto en el primer semestre de 2026: US$ 1.300 millones perdidos, Drift y Kelp DAO y los patrones detrás
Dos ataques de abril, a Drift y a Kelp DAO, sumaron casi 44% de las pérdidas del semestre. El informe de CertiK muestra que el compromiso de billeteras y la ingeniería social lideran el perjuicio.
Referencia histórica: 7 de julio de 2026. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- CertiK registró US$ 1.310 millones en pérdidas y 344 incidentes en el primer semestre de 2026, una caída de 46,8% frente al mismo período de 2025, que incluyó el ataque a Bybit.
- Drift Protocol (US$ 285 millones) y Kelp DAO (US$ 291 millones), ambos en abril, respondieron por casi 44% del total.
- El compromiso de billeteras fue el vector más caro (US$ 444,5 millones en 33 casos); el phishing tuvo menos casos, pero de mayor valor.
- Para las empresas, el patrón se repite: el punto débil suele ser una persona, una firma o la infraestructura, no el código del contrato.
São Paulo, 7 de julio de 2026 — Los ataques al ecosistema cripto sumaron US$ 1.310 millones en el primer semestre de 2026, según el informe Hack3D de la empresa de seguridad CertiK, publicado el 6 de julio. Hubo 344 incidentes, prácticamente la misma cantidad que en 2025, pero con pérdidas menores: el semestre anterior había registrado US$ 2.470 millones, impulsado por el robo de cerca de US$ 1.450 millones a Bybit.
La caída engaña. Sin Bybit, el primer semestre de 2025 habría tenido pérdidas de cerca de US$ 1.030 millones y, sobre esa base de comparación, los perjuicios de 2026 son aproximadamente 28% mayores, según la propia CertiK. Para quien usa stablecoins en pagos, el informe trae más lecciones sobre cómo se pierde el dinero que sobre cuánto.
- Pérdidas en 344 incidentes en el 1.er semestre de 2026 (CertiK, 6/7/2026)
- US$ 1.310 millones
- Fondos congelados o devueltos; pérdida neta de US$ 1.200 millones
- US$ 115,3 millones
- Parte de dos casos de abril: Kelp DAO y Drift Protocol
- ~44%
- Pérdida mediana por incidente, frente a un promedio de US$ 3,8 millones
- US$ 138.700
Las cifras del semestre, por vector y por red
| Vector | Pérdidas | Incidentes | Lectura |
|---|---|---|---|
| Compromiso de billetera o claves | US$ 444,5 millones | 33 | El más caro: pocos casos, montos muy altos |
| Phishing e ingeniería social | US$ 366,3 millones | 63 | Menos casos que en 2025 (132), con un valor promedio mayor; cuatro incidentes son cerca de 85% del total |
| Vulnerabilidad de código | US$ 151,6 millones | 204 | El más frecuente, pero de bajo valor por caso |
Por red, Ethereum concentró US$ 522,8 millones en 153 incidentes. Solana sumó US$ 315,1 millones, casi todo del ataque a Drift. Los US$ 115,3 millones congelados o devueltos muestran que la respuesta rápida aún recupera parte del dinero. CertiK también advierte que los actores vinculados a Corea del Norte, como el grupo Lazarus, suelen intensificar las operaciones a lo largo del año y que el segundo semestre merece atención redoblada.
Los dos mayores casos: Drift y Kelp DAO
Los valores varían entre fuentes: CertiK contabiliza US$ 285 millones para Drift y US$ 291 millones para Kelp DAO, mientras que Rekt News, que reúne relatos de los propios proyectos y de analistas, habla de US$ 285,3 millones y cerca de US$ 290 millones. Las descripciones técnicas siguientes provienen de esa cobertura y de los comunicados de los proyectos; la atribución a grupos de Corea del Norte es, en ambos casos, preliminar.
En los dos casos, el código del contrato funcionó como estaba escrito. Lo que falló fue el entorno: quién tenía poder de firma, qué máquinas y servicios de red eran de confianza y cuántas aprobaciones se necesitaban. Es el mismo patrón del ataque a Bybit, descrito en Bybit y el robo de US$ 1.500 millones, y de la tendencia señalada en robos de cripto en 2025.
Los patrones de ataque del semestre
- Oct/2025Inicio del contacto con colaboradores de Drift por un grupo que se presentaba como firma de trading, según el proyecto.
- 01/04/2026Drift Protocol: control administrativo transferido y bóvedas vaciadas en minutos.
- 18/04/2026Kelp DAO: verificador único comprometido, mensaje falso firmado y rsETH liberado.
- 06/07/2026CertiK publica el Hack3D del 1.er semestre: US$ 1.310 millones en 344 incidentes.
- Pocos objetivos, montos enormes. Dos casos explican casi la mitad de las pérdidas. El riesgo se concentra en protocolos y puentes con mucho dinero y pocos firmantes.
- La persona como puerta de entrada. Los contactos prolongados, los repositorios de código y las aplicaciones de prueba fueron el señuelo en Drift. Vale la misma alerta de proveedor falso y cambio de datos bancarios.
- Firma anticipada y sin tiempo de espera. En Drift, las firmas preautorizadas y un umbral de 2 de 5 aprobaciones permitieron cambios inmediatos de administración, lo que los críticos señalaron como falta de un intervalo de seguridad.
- Configuración mínima por defecto. En Kelp bastaba un único verificador. La discusión sobre quién debería haber exigido más verificadores continuó entre el proyecto y LayerZero.
Qué puede aplicar una empresa
Exija más de una aprobación para mover fondos. Use un dispositivo exclusivo para firmar transacciones y no ejecute en él código de terceros. Verifique la dirección de destino por un segundo canal antes de enviar. Trate los pedidos de cambio de billetera o de cuenta como sospechosos hasta confirmarlos por un teléfono conocido.
Para la empresa que solo paga a proveedores con stablecoins, el riesgo principal no es el protocolo de préstamos: es el error de dirección, el fraude de cambio de datos y la pérdida de acceso. No existe cobertura del FGC (fondo garantizador de créditos de Brasil) para activos virtuales, y la transferencia confirmada es irreversible. Por eso conviene mantener los valores quietos en stablecoin el menor tiempo posible y conservar la documentación de cada pago.
Los datos del semestre muestran el sentido de la amenaza: menos ataques a contratos y más ataques a personas, claves e infraestructura. La defensa también pasa por el proceso, y no solo por la tecnología.
Preguntas frecuentes
¿Cuánto se perdió en ataques cripto en el primer semestre de 2026?
CertiK contó US$ 1.310 millones en 344 incidentes, con US$ 115,3 millones congelados o devueltos, lo que deja la pérdida neta en cerca de US$ 1.200 millones. Otras empresas de análisis usan metodologías distintas y pueden presentar totales diferentes.
¿Cuáles fueron los mayores ataques de 2026 hasta julio?
En abril, Drift Protocol, en Solana (cerca de US$ 285 millones, el 1 de abril), y Kelp DAO, con rsETH (cerca de US$ 290 millones, el 18 de abril). Juntos representan casi 44% de las pérdidas del semestre, según CertiK.
¿Cuál fue el tipo de ataque más caro en 2026?
El compromiso de billeteras y claves, con US$ 444,5 millones en 33 incidentes. El phishing sumó US$ 366,3 millones en 63 casos, y las vulnerabilidades de código, US$ 151,6 millones en 204 casos, la mayor cantidad de incidentes.
¿Corea del Norte está detrás de los ataques de 2026?
Los proyectos Drift y LayerZero atribuyeron, de forma preliminar, los dos mayores ataques de abril a grupos vinculados a Corea del Norte, y Elliptic y TRM Labs señalaron a actores norcoreanos en el caso de Drift. La atribución sigue sujeta a confirmación por las autoridades. CertiK advierte que esos grupos tienden a intensificar la actividad en el segundo semestre.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- CertiK Hack3D: H1 2026 Report · CertiK, 6 jul 2026
- Drift Protocol — Rekt · Rekt News, 9 abr 2026
- KelpDao — Rekt · Rekt News, 24 abr 2026
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
