Los hacks cripto de 2026 han costado 8.780 millones de dólares, más de lo que el sector ha generado en ingresos on-chain en todo el año. Es la primera vez desde 2020 que el ecosistema pierde por inseguridad más de lo que ingresa operando.
Para quien tiene ether en una wallet o en un protocolo de DeFi, la noticia tiene una lectura práctica. No habla de un fallo de Ethereum, sino de la relación entre lo que el sector factura y lo que le roban. Y esa relación, este año, se ha roto.
Qué dicen los datos: 8.780 millones perdidos frente a 5.600 millones ganados
El recuento de DefiLlama, agregador de referencia de las finanzas descentralizadas, sitúa las pérdidas por ataques en 8.780 millones de dólares en lo que va de 2026. ARK Invest, en la serie que firma su analista Lorenzo Valente, estima los ingresos on-chain del ejercicio en 5.600 millones. La brecha rompe cinco años en los que el sector ingresaba más de lo que perdía.
Un solo ataque explica cerca del 72% del total. El asalto al exchange Binance del 29 de octubre se saldó con 6.360 millones sustraídos, atribuidos por el FBI al grupo TraderTraitor, vinculado a Corea del Norte. Binance sostiene haber cubierto con reservas propias el 98% de los fondos: el cliente no perdió saldo, pero el ecosistema anota el agujero en su contabilidad.
Si se descuenta ese golpe, el año cambia de cara: las pérdidas caen a unos 2.420 millones, por debajo de los 2.720 de 2025, pero con 342 incidentes registrados frente a 148. Menos dinero por golpe, el doble de intentos.
En DeFi, sin embargo, el patrón va justo al contrario. Los protocolos perdieron 1.190 millones de dólares en 243 incidentes, un 58% más que los 757 millones de 2025. Ahí no hay un Binance que tape el hueco con su balance.
La cifra que de verdad retrata al sector no es el golpe de 6.360 millones, sino los 243 incidentes pequeños que suman otros 1.190.
Qué significa para quien tiene ether o usa DeFi
Conviene separar dos cosas que el titular mezcla. Ethereum, la red base, no ha sido vulnerada: los ataques se han producido en exchanges, puentes y contratos de aplicaciones construidas encima. El riesgo real para un usuario de DeFi es que falle el código de un tercero, que una clave privada acabe en malas manos o que un puente mal diseñado quede como puerta abierta.
Abril fue el mes que mejor lo ilustró. Drift, plataforma de trading sobre Solana, perdió 295 millones. Kelp DAO, un protocolo de restaking líquido —reutilizar el ETH ya depositado como garantía para asegurar otros servicios, con un token que representa ese depósito—, perdió 293 millones. Ambos casos se atribuyeron a grupos norcoreanos. Para el lector de Ethereum, el segundo es el que importa.
El resto del año tiene otra derivada menos visible. Los ingresos on-chain de 2026 se quedan muy por debajo de los 8.900 millones de 2025, según la misma estimación de ARK. Aun así, la mayoría de los tokens que paga parte de sus ingresos a sus holders ha superado a bitcoin gracias a recompras. Menos negocio y más retribución: solo aguanta mientras las tesorerías resistan.
El precedente de 2020 y la factura estructural de la inseguridad
La última vez que los hacks superaron a los ingresos fue en 2020: 4.000 millones robados frente a 1.000 millones de ingresos. Al año siguiente las ganancias subieron a 12.500 millones y la balanza se mantuvo del lado bueno hasta 2025. La anomalía de 2026 ya se corrigió una vez con un mercado alcista, no con mejor seguridad.
Merece la pena ampliar el foco. Desde 2017, el sector ha perdido 26.900 millones de dólares en ataques y ha ganado 47.000 millones on-chain, según Token Terminal y el registro público de DefiLlama. Por cada dólar facturado, se roban 57 centavos. Ningún sector financiero regulado sobreviviría a esa contabilidad sin cambiar el modelo.
Mi lectura es que la seguridad funciona aquí como un impuesto estructural que nadie presupuesta. Cada ciclo se celebran los rollups que abaratan comisiones, el restaking que multiplica el rendimiento del ETH y los puentes que conectan capas; cada ciclo reaparece la misma pregunta: quién audita y quién paga cuando algo falla. Kelp DAO y Drift son la respuesta incómoda.
Hay un sesgo de concentración que conviene vigilar. La superficie de ataque se agrupa en un puñado de diseños: custodios de exchange, puentes entre cadenas y capas de restaking que apilan garantías. Cuando el rendimiento depende de reutilizar el mismo ETH tres veces, el fallo de una pieza arrastra a las demás.
Los números definitivos de 2026 aún pueden moverse: los ingresos están anualizados con tres trimestres y los hacks se cuentan hasta el 11 de noviembre. La pregunta que decidirá 2027 no es si habrá otro golpe grande —lo habrá—, sino si el coste de la seguridad crece más despacio que el negocio. De momento, la respuesta está en rojo.
