Informe de Seguridad Cripto 2025–2026 — $3.4 mil millones robados

Resumen Ejecutivo 1. Las Cifras

1. Las cifras: 2025 según los datos

La cifra principal — $3.41 mil millones en pérdidas totales — cuenta solo una parte de la historia. La estructura de esas pérdidas cambió fundamentalmente en 2025.

Aunque el recuento total de incidentes bajó de 410 en 2024 a aproximadamente 200 en 2025, la pérdida promedio por incidente se duplicó con creces. El primer trimestre de 2025 fue el peor trimestre en la historia cripto con $1.64 mil millones, impulsado casi en su totalidad por el hackeo de Bybit. El segundo trimestre trajo $801 millones en pérdidas, mientras que el tercero se estabilizó en $509 millones a medida que la industria se adaptaba. Septiembre de 2025 estableció un récord de 16 hackeos individuales de un millón de dólares en un solo mes, demostrando que incluso mientras los mega-hackeos captaban la atención, la larga cola de ataques medianos continuaba sin tregua.

Las pérdidas en DeFi cayeron a $649 millones, una disminución del 37% que refleja una mejora real en las prácticas de auditoría decontratos inteligentesy programas de recompensas por errores (bug bounties). Pero las pérdidas en exchanges centralizados se dispararon a $1.8 mil millones, un aumento masivo impulsado por los incidentes de Bybit y Coinbase. Los compromisos de billeteras fueron la categoría de ataque más eficiente: solo 34 incidentes representaron $1.71 mil millones, o el 69% de todo el valor perdido.

En una nota más positiva, la recuperación de fondos mejoró. Un total de $387 millones (13.2% de las pérdidas) se recuperó mediante bloqueos on-chain, coordinación con las fuerzas del orden y acciones de gobernanza de protocolos, superando los años anteriores tanto en términos absolutos como porcentuales.

2. Bybit

2. El mega-hackeo de Bybit: $1.5 mil millones

El 21 de febrero de 2025, el exchange Bybit, con sede en Dubái, sufrió el mayor hackeo individual en la historia de las criptomonedas. Un total de 401,347 ETH fue drenado de billeterasmultisigbasadas en Safe que abarcaban Ethereum y Arbitrum. La pérdida — aproximadamente $1.5 mil millones en ese momento — representó cerca del 50% de todos los robos cripto en 2025.

La causa raíz no fue una vulnerabilidad de contrato inteligente. Los atacantes comprometieron las claves de firma internas mediante una campaña de meses que combinó ingeniería social y despliegue de malware contra empleados clave. Al obtener el control de suficientes claves de firma, pudieron autorizar transferencias masivas sin activar los sistemas de detección de anomalías del exchange.

Tras el robo, los fondos se fragmentaron rápidamente en direcciones recién generadas, se movieron a través depuentes (bridges)cross-chain y se procesaron mediante servicios de mezcla (mixers). El ataque fue atribuido al Grupo Lazarus de Corea del Norte basándose en patrones de comportamiento on-chain, superposición de infraestructura de lavado y evaluaciones de la comunidad de inteligencia.

El incidente de Bybit deja una lección crítica para la industria: la seguridad multisig es tan fuerte como la seguridad operativa de cada firmante. Cuando el entorno de firma — la combinación de personas, dispositivos y procesos — se ve comprometido, las protecciones criptográficas se vuelven irrelevantes. Para profundizar encómo funciona la multisig y sus limitaciones, consulte nuestra guía dedicada.

3. Coinbase

3. Coinbase: Ataque de ingeniería social de $400 millones

En mayo de 2025, Coinbase reveló un ataque que se distinguió de cualquier otro incidente en este informe: no involucró ningún exploit técnico. Los atacantes sobornaron y manipularon psicológicamente a empleados internos de soporte al cliente durante un período prolongado, obteniendo gradualmente acceso a herramientas administrativas de soporte.

Con ese acceso, los atacantes pudieron ver capturas de pantalla de cuentas de clientes, extraer credenciales y eludir mecanismos de autenticación. La brecha expuso datos de clientes y derivó en robos posteriores. Coinbase asignó hasta $400 millones para la compensación de clientes.

El ataque a Coinbase subraya una realidad que la industria cripto ha tardado en reconocer: los procesos operados por humanos suelen ser el eslabón más débil en defensas que, de otro modo, serían técnicamente impenetrables. Ninguna cantidad de auditoría decontratos inteligenteso seguridad criptográfica puede compensar al personal interno comprometido. Para los usuarios, esto refuerza el valor de laautocustodiapara tenencias significativas: sus activos en un exchange son tan seguros como el empleado menos consciente de la seguridad de dicho exchange.

4. Principales Exploits DeFi

4. Principales exploits DeFi de 2025

A pesar de la disminución general de las pérdidas en DeFi, varios exploits en 2025 demostraron que los ataques a nivel de protocolo siguen siendo una amenaza seria, particularmente cuando se dirigen a errores matemáticos sutiles o arquitecturas de cadena novedosas.

Cetus Protocol — $223 millones

En mayo de 2025, Cetus Protocol, el mayor exchange descentralizado en la red Sui, fue golpeado por un exploit originado en un error de desbordamiento de enteros (integer overflow) en sus cálculos de liquidez. El atacante creó tokens falsos imitando activos legítimos y explotó vulnerabilidades en la lógica de manejo de activos del protocolo para manipular precios on-chain. Los proveedores de liquidez se quedaron con posiciones sin valor mientras el atacante drenaba los pools. El incidente destacó que los ecosistemas blockchain más nuevos como Sui enfrentan los mismos desafíos de seguridad fundamentales que Ethereum y otros: la novedad de la cadena no otorga inmunidad.

Balancer V2 — $128 millones

En noviembre de 2025, Balancer V2 sufrió un exploit en múltiples cadenas debido a un error de redondeo en las matemáticas de su pool estable componible. El atacante diseñó secuencias de swaps que explotaban pequeñas discrepancias entre la contabilidad interna del protocolo y los saldos reales de los pools. Cada error de redondeo individual era insignificante, pero al ejecutar miles de transacciones calibradas con precisión, el atacante extrajo $128 millones. Este tipo de ataque es extremadamente difícil de detectar mediante auditorías estándar porque la matemática subyacente es correcta de forma aislada; la vulnerabilidad solo emerge en la interacción entre el redondeo y las operaciones repetidas.

GMX V1 — $42 millones

En julio de 2025, GMX V1 en Arbitrum fue explotado mediante una vulnerabilidad de reentrada (reentrancy). El atacante acuñó tokens GLP en exceso y manipuló los cálculos de AUM del protocolo ejecutando posiciones cortas directamente desde el contrato de la bóveda (vault), eludiendo por completo el ShortsTracker. El exploit demostró que incluso los protocolos probados en batalla en redes de Capa 2 pueden albergar vulnerabilidades latentes, particularmente en código heredado que precede a los patrones de seguridad más recientes.

Para obtener un historial completo de los principales exploits cripto, incluidos los ataques a puentes de 2022 y las caídas de exchanges de 2023–2024, consulte nuestracronología exhaustiva de hackeos cripto.

5. Ataques Patrocinados por Estados

5. Ataques patrocinados por estados: la geopolítica del robo de criptomonedas

El robo de criptomonedas ya no es una historia de hackers anónimos y criminales oportunistas. En 2025, los actores de amenaza más significativos fueron estados-nación que utilizaron el robo de cripto y la evasión de sanciones como instrumentos de política exterior y financiación militar.

Corea del Norte — $2 mil millones en 2025

Las operaciones de robo de cripto de Corea del Norte alcanzaron los $2 mil millones en 2025, un aumento del 51% respecto a 2024. El Lazarus Group, la principal organización de hacking patrocinada por el estado, ha perfeccionado su enfoque pasando de hackeos directos a exchanges a un modelo más insidioso: miles de trabajadores de TI operando globalmente bajo identidades falsas, infiltrándose en empresas de cripto, Web3 e IA para obtener acceso privilegiado desde el interior.

Estos operativos solicitan puestos de ingeniería y DevOps, superan entrevistas técnicas y trabajan en las empresas durante meses o años antes de explotar su acceso. Una vez dentro, pueden exfiltrar claves, instalar puertas traseras o autorizar directamente transacciones maliciosas. Los fondos robados siguen un ciclo de lavado predecible de 45 días a través de servicios en idioma chino, puentes cross-chain y mezcladores especializados. Notablemente, Lazarus Group evita los protocolos de préstamo DeFi y prefiere exchanges con bajos requisitos de KYC para retirar el efectivo.

Para contextualizar cómo Corea del Norte lava cripto robado a través de infraestructuras de puentes, consulte¿Qué es un puente cripto?

Rusia — la stablecoin A7A5

La actividad cripto de Rusia en 2025 se centró en la stablecoin A7A5, un token vinculado al rublo que procesó $72 mil millones en volumen total (del cual se estima que el 34% fue wash trading). A7A5 funciona como un puente para que las empresas rusas accedan a las cadenas de suministro globales eludiendo las sanciones occidentales. Las investigaciones vincularon las transacciones de A7A5 con la adquisición de componentes de misiles a través de intermediarios en China y Kirguistán.

Las transacciones cripto vinculadas a sanciones aumentaron un 694% en 2025, alcanzando los $154 mil millones en volumen ilícito total entre todas las entidades vinculadas a Rusia. Para saber más sobre los riesgos queconllevan las stablecoinsmás allá de la estabilidad de precios, incluyendo la exposición a sanciones y el riesgo de contraparte, consulte nuestra guía de riesgos de stablecoins.

Irán — dominio del IRGC

El Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC) dominó la actividad cripto iraní en 2025. Solo en el cuarto trimestre, las direcciones vinculadas al IRGC recibieron más del 50% de todo el valor que fluyó hacia entidades iraníes on-chain. El IRGC movió más de $3 mil millones a través de canales cripto para financiar redes de milicias regionales y adquirir equipos de doble uso.

En febrero de 2026, los ataques militares de EE. UU. e Israel contra infraestructuras iraníes desencadenaron movimientos de activos on-chain en tiempo real desde billeteras vinculadas al IRGC, un ejemplo impactante de cómo los datos de blockchain sirven como barómetro de conflictos militares cinéticos. La inteligencia on-chain se ha convertido en una herramienta de análisis geopolítico por derecho propio.

6. EIP-7702

6. Nuevos vectores de ataque: EIP-7702 y riesgos de abstracción de cuentas

La actualización Pectra de Ethereum en mayo de 2025 introdujo el EIP-7702, un cambio técnico con implicaciones de seguridad significativas que aún se están asimilando. El EIP-7702 permite que las cuentas de propiedad externa (EOA) —billeteras de usuario estándar— actúen temporalmente como contratos inteligentes delegando la ejecución a una dirección de contrato.

Esto crea varias superficies de ataque novedosas:

• Protecciones de reentrada rotas.La salvaguarda tradicionalrequire(tx.origin == msg.sender), utilizada por muchos contratos para prevenir la reentrada, ya no es confiable. Una EOA que ha delegado en un contrato ahora puede ser simultáneamente el origen de la transacción y el ejecutor del contrato.
• Bypass de listas blancas.Los contratos que incluyen en listas blancas direcciones EOA específicas asumen que esas direcciones no pueden ejecutar código arbitrario. Con el EIP-7702, una EOA en lista blanca puede convertirse en una pasarela programable, ejecutando cualquier lógica que contenga su contrato delegado.
• Fallos en la detección de direcciones.La comprobaciónextcodesize, comúnmente utilizada para determinar si una dirección es un contrato, ahora devuelve resultados poco fiables para las EOA delegadas. La lógica de seguridad que depende de distinguir entre billeteras de usuario y contratos puede ser vulnerada.

Estos riesgos no son teóricos. Investigadores de seguridad demostraron exploits de prueba de concepto a las pocas semanas de la actualización. Cualquier protocolo que no haya auditado sus contratos frente a los cambios de comportamiento del EIP-7702 está operando con supuestos que podrían ya no ser válidos. Esta es una superficie de ataque novedosa que simplemente no existía antes de mayo de 2025.

7. Principios de 2026

7. Principios de 2026: signos de madurez — y nuevas amenazas

Febrero de 2026 trajo una estadística sorprendente: una caída del 98,2% en las pérdidas por hackeos en comparación con febrero de 2025 ($26,5 millones frente a más de $1.500 millones). Aunque la comparación está sesgada por el caso atípico de Bybit, la tendencia general a principios de 2026 sugiere una mejor preparación de la industria, al menos contra los vectores de ataque que dominaron 2025.

Pero el primer trimestre de 2026 también trajo nuevos incidentes que demostraron cómo el panorama de amenazas continúa evolucionando:

El robo de 282 millones de dólares a un usuario de Trezor exige especial atención. Un titular individual fue convencido por estafadores que se hacían pasar por agentes de soporte para que revelara su frase semilla. Este es ahora el ataque de ingeniería social más costoso contra un individuo en la historia de las criptomonedas.Billeteras de hardwareproporcionan una protección sólida contra el malware y la extracción remota de claves, pero ofrecen cero protección contra un usuario que entrega voluntariamente su frase de recuperación. El dispositivo no puede distinguir entre una recuperación legítima y un ataque de ingeniería social.

Los incidentes de TrueBit y YieldBlox también ilustran un problema persistente: los contratos heredados con clases de vulnerabilidad conocidas (desbordamientos de enteros, manipulación de oráculos) permanecen desplegados y custodiando fondos. Las nuevas cadenas como Stellar no son inmunes a los patrones de ataque contra los que los protocolos basados en Ethereum ya han aprendido a protegerse. Para más información sobre cómola gente pierde criptoa través de fallos tanto técnicos como humanos, consulte nuestra guía.

8. Fraude impulsado por IA

8. Fraude impulsado por IA: robo de identidad 2.0

2025 vio un aumento del 89% en los ataques habilitados por IA en todo el ecosistema cripto. La convergencia de los modelos de lenguaje extensos (LLM), la tecnología deepfake de intercambio de rostros y la clonación de voz ha cambiado fundamentalmente la economía de la ingeniería social.

Los estafadores impulsados por IA ahora despliegan deepfakes de intercambio de rostros para videollamadas en tiempo real y utilizan agentes de soporte simulados por LLM que pueden mantener conversaciones coherentes y conscientes del contexto durante horas. Estas herramientas extraen 4,5 veces más dinero por ataque exitoso que los estafadores humanos tradicionales. El volumen es igualmente preocupante: los operadores habilitados por IA ejecutan hasta 35 transferencias fraudulentas por día, en comparación con las 3,8 de los estafadores exclusivamente humanos.

Una amenaza emergente que los investigadores de seguridad señalaron a finales de 2025 es el "envenenamiento de agentes de IA": la inyección de datos maliciosos en agentes de trading automatizados o bots de DeFi para desviar fondos. A medida que más usuarios delegan la ejecución de transacciones en agentes de IA, la superficie de ataque se expande: un feed de precios envenenado o un conjunto de datos de entrenamiento manipulado puede hacer que un agente ejecute transacciones que beneficien al atacante. Este riesgo se ve agravado por el hecho de que la mayoría de los agentes de IA operan con aprobaciones de tokens (allowances) amplias, lo que les otorga permiso para mover activos sin la confirmación del usuario por cada transacción.

Para pasos prácticos sobre cómo defenderse de estas amenazas, consulteMantenerse seguro en cripto.

9. Colapso de la infraestructura NFT

9. El colapso de la infraestructura NFT

Aunque no es una historia de hackeo en el sentido tradicional, el colapso de la infraestructura NFT de 2025–2026 representa un tipo diferente de fallo de seguridad: la pérdida de integridad de los activos por el abandono de las plataformas.

La oferta de NFT creció un 25% en 2025, pero el volumen de ventas cayó un 37%, con el precio de venta promedio cayendo por debajo de los $100 para la mayoría de los segmentos del mercado. La presión económica resultó fatal para varias plataformas importantes: Nifty Gateway cerró en febrero de 2026, seguido por las salidas de Kraken NFT y Bybit NFT.

El problema de fondo es estructural. El análisis muestra que el 27% de las principales colecciones de NFT dependen de servidores centralizados para sus metadatos: las imágenes, descripciones y atributos que definen lo que un NFT representa realmente. Cuando estas plataformas cierran, los enlaces de los metadatos se rompen. Miles de NFT ahora apuntan a URLs muertas. Los tokens siguen existiendo on-chain, pero no referencian nada. Millones de dólares en activos se han reducido a punteros digitales vacíos.

Esta es una forma deriesgoque la mayoría de los compradores de NFT nunca consideraron: la inmutabilidad del token en la blockchain no se extiende al contenido off-chain que referencia. La verdadera permanencia requiere almacenamiento on-chain o descentralizado (IPFS con pinning, Arweave), algo que la mayoría de las colecciones nunca implementaron.

10. Respuesta regulatoria

10. Respuesta regulatoria: la era de la transparencia obligatoria

La escala de las pérdidas de 2025 aceleró los cronogramas regulatorios en todo el mundo. El desarrollo más significativo es el reglamento de Mercados de Criptoactivos (MiCA) de la UE, que entra en plena aplicación el 1 de junio de 2026.

MiCA exige licencias formales para todos los Proveedores de Servicios de Criptoactivos (CASP), reservas de capital auditadas y reglas estrictas de segregación de activos. El reglamento exige que los fondos de los clientes se mantengan separados de los activos corporativos, una respuesta directa al modelo de FTX donde los depósitos de los clientes se mezclaban con las operaciones de trading.

Más allá de MiCA, varias tendencias regulatorias centradas en la seguridad ganaron impulso en 2025:

• Prueba de reservas criptográfica— las atestaciones basadas en árboles de Merkle y las pruebas de reserva on-chain están reemplazando las declaraciones juradas tradicionales. Los exchanges que pueden demostrar solvencia en tiempo real obtienen una ventaja competitiva.
• Certificación SOC 2 Tipo II— convirtiéndose en el estándar de seguridad base para la infraestructura cripto institucional, cubriendo controles de acceso, gestión de cambios y respuesta a incidentes.
• Monitoreo en tiempo real y pausa de protocolos— el modelo de Venus Protocol (septiembre de 2025) mostró lo que es posible: el monitoreo de Hexagate detectó un ataque entrante 18 horas antes de su ejecución, el protocolo fue pausado mediante una acción de gobernanza y los fondos fueron recuperados. Este enfoque de "defensa en profundidad" se está convirtiendo en un modelo a seguir.
• Cumplimiento de la Regla de Viaje (Travel Rule)— la UE ahora exige información de identidad para transferencias cripto que superen los 1.000 €, alineando las criptomonedas con los requisitos de transferencia bancaria tradicional.
• Cumplimiento por diseño— el monitoreo de sanciones de la OFAC se integra cada vez más directamente en los contratos inteligentes y las interfaces de usuario, evitando que las direcciones sancionadas interactúen con los protocolos a nivel de contrato.

11. Qué significa esto para usted

11. Qué significa esto para usted

Los datos de 2025 cuentan una historia clara: la superficie de ataque se ha desplazado decisivamente del código a las personas y las operaciones. Para los usuarios individuales y los gestores de carteras, las implicaciones prácticas son significativas.

Sus mayores riesgos no están donde usted cree.Las aprobaciones de tokens olvidadas, los entornos de firma comprometidos y la ingeniería social son ahora más peligrosos que los errores en los contratos inteligentes. Si alguna vez otorgó aprobaciones de tokens ilimitadas a un protocolo que ya no usa, esas aprobaciones permanecen activas y son explotables. Revíselas y revóquelas.

Billeteras de hardwareprotegen contra el malware y la extracción remota de claves, pero no pueden protegerle de revelar su frase semilla a un suplantador convincente. El robo de 282 millones de dólares al usuario de Trezor es la ilustración más costosa de esta distinción. Ningún dispositivo de hardware puede anular la decisión de un usuario de entregar su frase de recuperación.

La autocustodia combinada con una descentralización real sigue siendo el modelo de defensa más sólido, siempre que se gestione el riesgo humano. Los protocolos que sobrevivieron intactos a 2025 fueron aquellos con una descentralización genuina: gestión de claves distribuida, gobernanza con bloqueos de tiempo (time-locks) y sin un punto único de fallo humano. Para orientación sobre cómo evaluar estas propiedades, consulteEntender el riesgo en DeFi.

Herramientas como CleanSky existen para ayudarle a ver su exposición total: todas las posiciones, todas las aprobaciones de tokens, todos los riesgos de protocolos en cada cadena, en una sola vista. Cuando la superficie de ataque es tan amplia, la visibilidad es la primera línea de defensa.

La perspectiva institucional también es relevante para el contexto. Para finales de 2026, se espera que el 76% de los inversores institucionales aumenten su exposición a activos digitales. El capital que fluye hacia el sector cripto está creciendo, lo que significa que tanto el valor en riesgo como la sofisticación de los atacantes seguirán aumentando. El panorama de seguridad de 2025 es el nuevo estándar, no el pico.

12. Conclusiones clave