Los hackeos de criptomonedas se dispararon hasta los 1.180 millones de dólares en 107 incidentes registrados durante el tercer trimestre de 2026, según la empresa de seguridad Hacken.
El informe de Hacken correspondiente al tercer trimestre atribuyó el 77 % (unos 906 millones de dólares) a proveedores o herramientas de desarrollo comprometidos, correcciones divulgadas públicamente que no se habían implementado u otros componentes que no habían sido sometidos a revisiones de seguridad.
Los cuatro incidentes más importantes incluyeron el hackeo de Bitget, por 387 millones de dólares; el exploit de Liquid Network, por 320 millones; el exploit de Tectonic, por 120 millones; y la vulnerabilidad del firmware de Coldcard, asociada a pérdidas estimadas en 115 millones de dólares.
El tercer trimestre fue el trimestre más perjudicial para los hackeos de criptomonedas desde el primer trimestre de 2025, cuando la pérdida de 1.400 millones de dólares de Bybit a manos de Corea del Norte elevó el total a 1.600 millones de dólares.
Monto total y composición de las pérdidas del tercer trimestre. Fuente: Hacken
Alrededor del 80 % de las pérdidas del trimestre se concentró en cuatro de los incidentes más importantes, mientras que 98 de los incidentes registraron pérdidas inferiores a 10 millones de dólares. La pérdida mediana de los 107 incidentes fue de 670.000 dólares.
Aunque los compromisos de proveedores y las fallas de infraestructura representaron gran parte del valor robado, los incidentes relacionados con contratos inteligentes fueron los más frecuentes: representaron 228 millones de dólares en pérdidas en 71 incidentes, lo que los convirtió en el vector de ataque más explotado.
Se devolvió o revirtió cerca de un tercio de las pérdidas tras los hackeos de criptomonedas del tercer trimestre
De los 1.180 millones de dólares perdidos, se devolvieron o revirtieron alrededor de 387 millones, lo que equivale a la recuperación de cerca del 33 % de las pérdidas brutas.
Tras el hackeo de Liquid Network, unos autoproclamados «hackers de sombrero blanco» devolvieron 272 millones de dólares, alrededor del 85 % del valor robado.
En el incidente de Tectonic, los validadores de Cronos revirtieron 114 minutos del historial confirmado de la cadena de bloques, anulando alrededor de 111,2 millones de dólares de los 120,4 millones en préstamos afectados. Además, los emisores de monedas estables Circle y Tether congelaron cerca de 340.000 dólares vinculados al robo de Bitget.
Los operadores cubrieron con fondos propios otros 410 millones de dólares en pérdidas de los usuarios. El fondo de protección de usuarios de Bitget cubrió 387 millones de dólares, mientras que Triple-A, Coinsbuy y TAC reembolsaron cerca de 22 millones, compensando a los usuarios, aunque los activos robados siguieron en manos de los atacantes.
Alrededor de 384 millones de dólares, o el 32 % de las pérdidas brutas, no se devolvieron ni se cubrieron.
Monto de las pérdidas cubiertas por los operadores, en comparación con el monto devuelto o revertido. Fuente: Hacken
Hacken instó a los participantes del sector a reforzar la ciberseguridad de los proveedores externos, las herramientas de desarrollo y otras infraestructuras externas que podrían quedar fuera de las auditorías de seguridad.
La empresa también recomendó que los protocolos ampliaran las auditorías de seguridad para incluir oráculos, puentes, sistemas de custodia, autoridades de firma y otros componentes privilegiados.
Revista: Dentro de la «falsa redada policial» que obligó a transferir 1 millón de dólares en Bitcoin