Las pérdidas de seguridad en Web3 alcanzan los 1.310 millones de dólares en el primer semestre de 2026, mientras que el hackeo del protocolo Drift supera los 285 millones de dólares

El sector Web3 perdió más de 1.310 millones de dólares debido a hackeos, exploits y estafas durante los primeros seis meses de 2026, aunque las pérdidas titulares parecían menores que un año antes. Sin embargo, detrás de esta disminución, los datos de seguridad apuntan a una tendencia más preocupante: los ataques se están volviendo más dirigidos, de alto valor y operativamente sofisticados, en lugar de menos frecuentes.

Se registraron un total de 344 incidentes de seguridad entre enero y junio, casi sin cambios respecto al mismo período del año anterior. Aunque las pérdidas totales cayeron un 46,8 % interanual, la comparación está sesgada por el récord del exploit de Bybit de 1.450 millones de dólares a principios de 2025. Excluyendo ese único evento, las pérdidas durante la primera mitad de 2026 fueron aproximadamente un 28 % más altas que la línea base comparable de 2025, lo que indica que el panorama de amenazas subyacente ha empeorado en lugar de mejorar.

Dos grandes exploits impulsaron casi la mitad de las pérdidas del primer semestre

Casi la mitad de todas las pérdidas provinieron de dos ataques que ocurrieron con semanas de diferencia en abril, mientras que otros incidentes importantes, incluido el exploit de Humanity Protocol, destacaron aún más las debilidades de seguridad persistentes en todo el ecosistema Web3.

• Exploit de Kelp DAO: Aproximadamente 291,3 millones de dólares perdidos después de que los atacantes explotaran la infraestructura RPC off-chain.
• Drift Protocol: Alrededor de 285,3 millones de dólares robados mediante la compromisión de una clave administrativa que permitió la creación fraudulenta de colateral y retiros de activos.
• En conjunto, los dos incidentes representaron casi el 44 % de todas las pérdidas de Web3 durante el primer semestre de 2026.

Sin esos eventos, las pérdidas totales se habrían mantenido por debajo de los 750 millones de dólares, ilustrando cómo un puñado de grandes brechas continúan dominando el daño a nivel de la industria.

La seguridad de la billetera superó a los contratos inteligentes como el mayor riesgo financiero

El cambio más importante durante la primera mitad del año fue el creciente costo de los ataques relacionados con billeteras.

Las compromisiones de billeteras generaron más de 444 millones de dólares en solo 33 incidentes, convirtiéndolas en la categoría de ataque más costosa a pesar de representar solo una pequeña fracción del total de casos. En comparación, las vulnerabilidades de código produjeron el mayor número de incidentes, con 204, pero resultaron en pérdidas agregadas sustancialmente menores de alrededor de 151,6 millones de dólares.

Las cifras sugieren que los atacantes se están centrando cada vez más en credenciales privilegiadas, infraestructura operativa y gestión de claves, en lugar de depender únicamente de fallos en los contratos inteligentes.

El phishing también evolucionó durante el período. Aunque los incidentes de phishing cayeron más de la mitad en comparación con el año anterior, las pérdidas financieras disminuyeron solo modestamente porque los atacantes cambiaron hacia campañas de ingeniería social altamente dirigidas a individuos y organizaciones de alto valor, en lugar de operaciones masivas de vaciado de billeteras.

Ethereum siguió siendo el objetivo principal

Ethereum continuó experimentando el mayor número de incidentes de seguridad, mientras que Solana ocupó el segundo lugar por valor perdido, principalmente debido al exploit de Drift Protocol, que representó uno de los mayores incidentes de seguridad del primer semestre de 2026.

Las cifras clave del primer semestre de 2026 incluyen:

• Ethereum: 153 incidentes, 522,8 millones de dólares perdidos.
• Solana: 7 incidentes, 315,1 millones de dólares perdidos.
• BNB Chain: 107 incidentes, 65,5 millones de dólares perdidos.
• Ecosistema Bitcoin: 6 incidentes, 144,6 millones de dólares perdidos.
• Alrededor de 115 millones de dólares de fondos robados fueron congelados o recuperados, reduciendo las pérdidas ajustadas a aproximadamente 1.200 millones de dólares.

Los atacantes movieron los activos robados más rápidamente a través de herramientas de privacidad e infraestructura cross-chain, haciendo que la recuperación sea cada vez más difícil. Al mismo tiempo, los contratos inteligentes más antiguos que no habían pasado por revisiones de seguridad recientes surgieron como un objetivo recurrente, lo que sugiere que la infraestructura DeFi heredada se está convirtiendo en una fuente creciente de riesgo.

En lugar de señalar un ecosistema más seguro, la primera mitad de 2026 apunta a una industria que enfrenta un modelo de amenaza cambiante donde menos ataques son responsables de pérdidas cada vez mayores, y la seguridad operativa se está volviendo tan crítica como la seguridad de los contratos inteligentes.