Las plataformas de criptomonedas perdieron $3.63 mil millones en 245 incidentes de seguridad documentados entre enero de 2025 y julio de 2026, según el Informe de Seguridad Cripto de CoinGecko, publicado el 27 de agosto.
Las pérdidas se concentraron en gran medida. Los diez ataques más grandes representaron más del 72.5% del valor total robado, mientras que los compromisos de infraestructura y cadena de suministro causaron más de $1.8 mil millones en pérdidas.
CoinGecko identificó el compromiso de claves privadas como el principal riesgo para los exchanges centralizados. Las aplicaciones descentralizadas perdieron aproximadamente $546 millones a través de exploits de contratos inteligentes, mientras que ambas categorías de plataformas también enfrentaron manipulación de oráculos y fallos en mecanismos internos.
Las cifras representan el conjunto de datos de incidentes de CoinGecko. El resumen publicado no establece claramente si cada activo recuperado o congelado fue deducido, por lo que los $3.63 mil millones deben tratarse como su estimación de pérdida reportada, y no como un total de pérdida neta final.
La brecha de Bybit de febrero de 2025 fue el incidente más grande incluido, representando aproximadamente $1.44 mil millones. El ataque involucró una infraestructura de firma de transacciones comprometida en lugar de un defecto en un contrato inteligente del exchange.
Otros incidentes importantes incluyeron la brecha de KelpDAO de $292 millones, el ataque al Protocolo Drift de $285 millones y el exploit de Cetus de $223 millones. Sus diferentes métodos demuestran por qué un solo control de seguridad no puede cubrir la superficie de ataque completa de la industria.
Los ataques a la infraestructura pueden dirigirse a claves privadas, dispositivos de empleados, interfaces de usuario (front-end), dependencias de software y operadores de puentes. Estos componentes a menudo se encuentran fuera de los contratos inteligentes revisados durante las auditorías convencionales.
Los grupos respaldados por estados también han adoptado operaciones más largas y complejas. Como se informó anteriormente, dos ataques vinculados a Corea del Norte drenaron aproximadamente $577 millones a través de ingeniería social y compromisos de infraestructura de puentes, en lugar de fallos contractuales ordinarios.
CoinGecko descubrió que 147 de las 245 plataformas afectadas, o alrededor del 60%, habían completado una auditoría de seguridad independiente antes de ser atacadas. Esas plataformas representaron el 88.44% de las pérdidas registradas.
Ese hallazgo no establece que los auditores aprobaran el componente vulnerable. CoinGecko dijo que solo aproximadamente el 11% de los incidentes involucraron fallos que caían dentro del alcance de las auditorías rutinarias de contratos inteligentes.
Esos fallos dentro del alcance aún causaron alrededor de $396 millones en pérdidas. La mayoría de los otros incidentes involucraron infraestructura externa, actualizaciones de software no auditadas, credenciales comprometidas o mecanismos de gobernanza que la auditoría no evaluó.
Una auditoría también es una instantánea de una versión de código particular. Los cambios realizados después de la revisión pueden introducir nuevas vulnerabilidades. Su efectividad depende del alcance, la metodología, la experiencia del auditor y si los desarrolladores resolvieron los hallazgos.
En cobertura relacionada, la revisión de seguridad de Ripple identificó 96 problemas antes de que el código afectado llegara a los usuarios, lo que demuestra que las auditorías pueden prevenir pérdidas cuando los hallazgos llegan antes de la activación. No pueden reemplazar la monitorización continua y la seguridad operativa.
La cobertura activa de los principales protocolos de seguro on-chain disminuyó un 20.2%, de $163.2 millones a $130.2 millones. Los pagos acumulados se mantuvieron cerca de los $33 millones, según CoinGecko.
Cinco de los nueve protocolos rastreados se habían vuelto inactivos o se habían movido a otras áreas de negocio para agosto de 2026. CoinGecko atribuyó el retroceso en parte al riesgo elevado, las primas caras y la dificultad para atraer a proveedores de capital.
La cifra de cobertura de $130.2 millones no debe compararse directamente con los $3.63 mil millones como una relación de cobertura formal. La primera es una medida puntual, mientras que la segunda cubre incidentes acumulados a lo largo de 19 meses.
Las pólizas también contienen definiciones estrictas. Algunas cubren fallos verificados de contratos inteligentes, pero excluyen el phishing, el robo de claves privadas, los errores de empleados, la volatilidad del mercado y las pérdidas relacionadas con cadenas no soportadas.
Los exchanges centralizados han establecido cada vez más fondos de protección al inversor en lugar de comprar seguros externos completos. Estas reservas pueden proporcionar un reembolso más rápido después de una brecha.
Sin embargo, un fondo de protección no es automáticamente equivalente a un seguro regulado. La cobertura depende de los términos del exchange, la custodia de las reservas, la composición de los activos y la discreción sobre los eventos calificantes.
Las atestaciones de prueba de reservas abordan otra cuestión al mostrar que un exchange controla activos correspondientes a los saldos de los clientes. No establecen una gestión segura de claves ni demuestran que todas las responsabilidades han sido reveladas.
La próxima prueba del informe será si las plataformas amplían las auditorías más allá de los contratos inteligentes, para incluir sistemas operativos, puentes y dependencias de software. Los proveedores de seguros también deben determinar si se puede ofrecer una protección más amplia sin que las primas resulten inaccesibles.
