Los hackeos cripto de 2026 dejan un saldo de 2.350 millones de dólares en pérdidas netas y 230 protocolos comprometidos, según el recuento de Lightning.news publicado por Bitcoin Magazine. La cifra resta a los robos lo que los proyectos han logrado congelar o recuperar después. Aun así, el agujero es enorme.
El recuento lo firma la investigadora de seguridad Stacy Muur, que en la red social X compiló una lista de protocolos hackeados por más de 50.000 dólares en 2026. Su diagnóstico fue tajante: la seguridad del sector, dijo, está en un punto crítico. Un año en el que exchanges centralizados, DeFi y una sidechain de Bitcoin (una cadena paralela que mueve bitcoin con más agilidad) han compartido el mismo patrón de pérdidas concentradas.
Septiembre concentró por sí solo unos 768 millones de dólares, el mes más sangriento del año. Y no fue por los dispositivos de autocustodia —las carteras físicas que guardan las claves sin conexión—, que acapararon titulares, sino por dos frentes: los exchanges centralizados y las finanzas descentralizadas (DeFi, el ecosistema de préstamos y cambios que funciona con contratos automáticos en la blockchain).
El mayor golpe individual fue el del exchange Bitget, con un drenaje de aproximadamente 387,5 millones de dólares de sus carteras calientes y tibias el 24 de septiembre: los monederos conectados a internet que la plataforma usa a diario. La compañía y firmas de análisis como Chainalysis, Elliptic y TRM Labs vincularon el ataque a Corea del Norte por patrones de IP compatibles con el uso de VPN del régimen y solapamientos on-chain con carteras de Lazarus Group y TraderTraitor, incluido el robo a Bybit en 2025. Los atacantes no necesitaron las claves privadas: se colaron mediante productos de seguridad de terceros para inyectar órdenes de retirada fraudulentas.
La red Liquid, la sidechain de Blockstream, protagonizó el segundo mayor desastre. A principios de septiembre, la explotación de un fallo en el software Elements permitió acuñar unos 4.000 L-BTC sin respaldo y canjearlos por aproximadamente 4.000 bitcoins reales, valorados en cerca de 320 millones de dólares. Los actores, autodenominados de sombrero blanco, devolvieron 3.400 BTC tras negociar on-chain mediante mensajes OP_RETURN (una función de la red para dejar notas en la cadena) y se quedaron con unos 600. No se comprometieron las claves de la federación: fue una especie de bug de inflación del propio protocolo. La red ya funciona y ha cubierto las pérdidas.
El patrón de 2026 no es el fallo exótico, sino el mismo agujero repetido: claves comprometidas, diseños con un solo guardián y contratos que nadie revisó a tiempo.
Los cinco mayores golpes del año
El recuento ordena los incidentes por tamaño. Estos son los que más pesan en el balance de 2026.
- Bitget (24 de septiembre): 387,5 millones de dólares desde carteras calientes y tibias. Actores vinculados a Corea del Norte.
- Liquid Network (principios de septiembre): fallo en Elements que permitió acuñar 4.000 L-BTC sin respaldo, canjeados por unos 320 millones en bitcoin.
- KelpDAO (puente rsETH sobre LayerZero): 292 millones en tokens sin respaldo tras subvertir un diseño de verificador único.
- Drift Protocol (abril): 285-296 millones por un compromiso de gobernanza y multifirma tras meses de ingeniería social.
- Tectonic (Cronos, finales de agosto): 120,4 millones prestados contra colateral manipulado; recuperación mayoritaria tras rebobinar la cadena.
Las carteras hardware: más ruido que daño
El ruido mediático apuntó en otra dirección. Las carteras hardware, que guardan las claves privadas fuera de línea, protagonizaron titulares, pero su daño agregado quedó muy por debajo de los grandes incidentes de exchanges y DeFi.
El caso Coinkite (fabricante de la Coldcard) lo situó Galaxy Research entre 1.596 y 1.789 BTC, unos 100-130 millones de dólares al cambio de entonces, con estimaciones superiores cercanas a los 2.055 BTC. La causa: un fallo en el generador de números aleatorios, el mecanismo que produce las claves.
Ledger perdió entre 86 y 102 millones atribuidos a dispositivos vendidos a través del revendedor autorizado CryptoBilis, en el sudeste asiático, donde un implante no autorizado capturaba las frases de recuperación durante la configuración. Un ataque de cadena de suministro. La compañía afirma que los casos confirmados se limitan a ese canal y que sus sistemas y ventas directas no se vieron afectados, aunque hay informes sin confirmar de dispositivos manipulados llegando al mercado alemán.
La IA abarata el coste de encontrar el fallo
Durante 2026 coincidió con el despliegue práctico de agentes de IA capaces de rastrear bases de código en busca de vulnerabilidades y automatizar el desarrollo de exploits. Stacy Muur lo resumió así: la IA está haciendo mucho más fácil encontrar y explotar fallos, y el sector entra en una carrera armamentística de ciberseguridad seria.
Los informes señalan que la explotación de fallos de código se aceleró tras el lanzamiento en febrero de modelos como GPT-5.3-Codex y Claude Opus 4.6, con altas tasas de éxito en pruebas de detección de errores en contratos inteligentes a bajo coste. La mayoría de los grandes robos del año siguieron usando vectores tradicionales —compromiso de claves, ingeniería social, fallos de infraestructura—, pero la barrera para descubrir y armar un fallo ha bajado.
El riesgo se concentra en tres frentes: la infraestructura de carteras calientes de los exchanges, el diseño de gobernanza y oráculos de las DeFi y el código de sidechains que mueven bitcoin pero no son la capa base. Ahí está el matiz tranquilizador: la red principal de Bitcoin no ha originado estas pérdidas; lo que falla son las capas que se construyen encima.
La reflexión abierta tiene que ver con la autocustodia. Tras los incidentes de Coinkite y Ledger, han surgido voces que piden revisar la máxima clásica —que sin las claves propias no hay monedas propias— y avanzar hacia carteras multifirma con dispositivos de varios fabricantes, para que un solo fallo o un solo proveedor no lo comprometa todo. La pregunta para el inversor de a pie es sencilla: ¿el monedero que usa depende de un único punto de fallo? Responder eso, y no el titular del día, es lo que de verdad protege los ahorros.
