Auditorías cripto tras 1.180 millones de dólares de pérdidas: «The problem is always scope»

Un sello de auditoría en la web de un exchange o de un protocolo se lee como una garantía. La firma de seguridad Hacken acaba de calcular lo poco que cubre cuando llega el momento: en el tercer trimestre de 2026, los ataques al mercado cripto costaron 1.180 millones de dólares en 107 incidentes, y 906,8 millones de ese total recayeron en componentes que ni siquiera estaban sobre la mesa en la última auditoría de seguridad. Eso es el 77 % de las pérdidas del trimestre. El cofundador Andrii Matiukhin lo resumió así ante CoinDesk: «The problem is always scope», el problema es siempre el alcance de la revisión.

Para un inversor, eso no significa que las auditorías no valgan nada. Significa que un sello responde a una pregunta distinta de la que tú haces. Tú quieres saber si tu saldo está seguro. Lo que se revisó, por lo general, es solo si un contrato inteligente concreto estaba limpio en un momento concreto. Este artículo muestra dónde está la brecha en cifras, qué casos la abrieron este verano y cómo distinguir un informe de auditoría con sustancia de uno decorativo.

1.180 millones de dólares en 107 incidentes: qué cuenta Hacken para el tercer trimestre

La cifra figura en el informe trimestral de la auditora Hacken, del que CoinDesk informó el 18 de octubre de 2026. 1.180 millones de dólares de daño repartidos en 107 incidentes distintos, un 55 % más que en el segundo trimestre. El aumento no viene de un número mayor de ataques pequeños, sino de unos pocos muy grandes.

Una auditoría significa aquí una revisión de seguridad del código informático por parte de una empresa externa. Los auditores leen el código fuente, buscan errores de lógica, prueban casos límite y redactan un informe con los hallazgos por grado de gravedad. Lo que acaba en ese informe depende por completo de lo que el cliente encargó revisar. Justo ahí apunta la crítica.

El 77 % de las pérdidas quedó fuera de la última auditoría

Hacken atribuye los 906,8 millones de dólares a tres causas: proveedores y herramientas de desarrollo comprometidos, correcciones de seguridad ya publicadas que nadie había instalado, y componentes que simplemente no estaban en el alcance de la última pasada de seguridad.

Ninguna de esas tres vías pasa por el contrato auditado. Un atacante que se queda con la cuenta de un desarrollador en un proveedor de herramientas no necesita romper el contrato inteligente. Obtiene el acceso por el camino que la auditoría nunca miró. Matiukhin dio también a CoinDesk la razón de que los alcances sigan siendo estrechos: «It's expensive to have enormous scopes of all components that interact with funds». Las revisiones completas de todos los componentes que tocan dinero son caras, y las paga la propia empresa auditada.

Cadena de suministro y herramientas de desarrollo: la vía de ataque detrás de 906,8 millones de dólares

El mayor caso individual del trimestre muestra el patrón. Según el informe de Hacken, los usuarios del exchange Bitget perdieron al menos 352 millones de dólares después de que unos atacantes explotaran una vulnerabilidad en un producto de seguridad de un tercero y lograran por ahí acceso a la infraestructura de retiradas. El producto atacado era, precisamente, un componente de seguridad.

En Liquid Network el informe cifra el daño en 319 millones de dólares y en Tectonic en 75 millones como mínimo. Unos 114 millones de dólares recayeron en el software de cartera de Coldcard. En julio, tres puentes y protocolos entre blockchains perdieron juntos más de 35 millones de dólares en un ataque de seis horas; 24 millones correspondieron a AFX Trade, después de que los atacantes se hicieran con el control de sus claves de validador.

En la misma semana en que apareció el informe se hizo público otro caso: unos 93 millones de dólares de daño por un implante de hardware no autorizado, en relación con Ledger y CryptoBilis. CoinDesk lleva ese caso aparte de la suma trimestral, porque solo se conoció después de la fecha de cierre.

Qué cubre una auditoría de contrato inteligente y qué se queda fuera

Una auditoría típica mira el contrato inteligente, es decir, el programa en la blockchain que gobierna los depósitos, los intercambios o las retiradas. Lo que se revisa es un estado concreto del código fuente, fijado mediante un identificador de commit.

Con regularidad no se incluyen la interfaz del navegador, los servidores de detrás, la solución de custodia con sus claves, los procedimientos de firma, los oráculos de precios, los puentes a otras blockchains y cualquier software de terceros comprado. Hacken recomienda expresamente en el informe ampliar el alcance a oráculos, puentes, sistemas de custodia y permisos de firma. Que esa recomendación sea necesaria dice ya cómo es el caso normal.

A eso se añade el factor tiempo. Una auditoría describe un estado en un día. Cualquier cambio posterior del código queda fuera. Un sello sin fecha es por eso difícil de valorar.

Cuatro claves, tres firmas: Hacken examinó doce plataformas de derivados

Para el informe, Hacken se fijó en doce plataformas de derivados y mercados de predicción. El hallazgo afecta a la estructura de la custodia: en dos grandes plataformas, según las cifras del informe, más de 700 millones de dólares en valores asegurados dependían o de un montaje con cuatro claves de las que tres deben firmar, o de claves de administración cuyos titulares no son públicamente conocidos.

Matiukhin fue explícito en un punto: «We are not aware of a live bug in the systems of any reviewed venue», no se ha constatado ninguna vulnerabilidad activa en los sistemas de las plataformas revisadas. El hallazgo afecta a la concentración del control, no a un error concreto. Quien deja su saldo en un exchange confía en que un grupo pequeño de titulares de claves, en parte desconocidos, actúe correctamente y no sea atacado él mismo.

Severity downgrade: cuando una vulnerabilidad crítica se clasifica como baja

Un informe de auditoría es una recomendación, no una orden. Matiukhin describe a CoinDesk lo que pasa en la práctica: «Sometimes a critical vulnerability is classified as low by the team, and fix implementation is delayed or even declined». Una vulnerabilidad notificada como crítica la rebaja el equipo, y la corrección se aplaza o se rechaza.

La maniobra se llama en la jerga severity downgrade, es decir, la rebaja de un grado de gravedad. Explica por qué en el desglose de Hacken las correcciones ya publicadas y disponibles figuran entre las tres causas principales. La brecha era conocida, el auditor la había señalado y no se instaló.

Qué distingue un informe de auditoría con sustancia de uno decorativo

Un informe de auditoría que vale algo menciona cuatro cosas. Primero, una fecha y un identificador de versión del código revisado. Segundo, un alcance escrito con todas las letras, que enumere qué componentes se incluyeron y cuáles no. Tercero, los hallazgos por grado de gravedad, incluidos los puntos que el cliente no corrigió. Cuarto, un control posterior que confirme que los puntos críticos se cerraron de verdad.

Si falta uno de ellos, queda un logotipo. «Auditado por» y «seguro» no son lo mismo, y en las cuentas de Hacken hay cerca de mil millones de dólares entre las dos cosas. Comprueba además si la fecha del informe sigue encajando con la versión actual: un informe de hace dos años describe un software que ya no existe así.

Custodia en Alemania: saldo en el exchange frente a claves propias

La consecuencia práctica del informe afecta a dónde están tus monedas. Un saldo en un exchange es un derecho de crédito frente a esa empresa; las claves las tiene la plataforma. Si su infraestructura falla o sufre un ataque, la devolución depende de la solvencia y de la gestión de crisis del proveedor. Justo esa infraestructura quedó fuera del alcance de la auditoría en los casos del trimestre.

La variante contraria es la custodia propia. Con una cartera hardware, es decir, un dispositivo que guarda tus claves privadas sin conexión y firma él mismo las transacciones, la clave no sale del aparato. Qué modelos encajan con qué patrimonio y en qué se diferencian en manejo y recuperación está en nuestra comparativa de carteras hardware. El caso de Ledger de esa misma semana muestra, sin embargo, que esta vía también exige cuidado: un dispositivo debería comprarse solo directamente al fabricante o a un distribuidor señalado por él, nunca de segunda mano y nunca a través de un vendedor externo en un marketplace.

Para los importes que mueves a diario, un exchange sigue siendo práctico. La pregunta se desplaza entonces a la elección de la plataforma. Una licencia conforme al reglamento europeo MiCA significa supervisión de los recursos propios, separación del patrimonio de los clientes y vías de reclamación; qué proveedores la tienen en Alemania lo muestra el repaso de los exchanges cripto regulados. Una licencia no sustituye a una auditoría de seguridad, pero te da una dirección en caso de conflicto.

Tres comprobaciones que cuestan poco tiempo antes de la próxima compra

El esfuerzo es limitado. Busca el informe de auditoría en la página de tu proveedor y mira si lleva una fecha y un alcance. Compara esa fecha con la última actualización importante de la plataforma. Y mira si el proveedor explica cómo está organizada la custodia, cuántas claves hay y quién las tiene.

Si no encuentras nada sobre uno de esos tres puntos, eso ya es una información. No quiere decir que el proveedor trabaje sin seguridad. Quiere decir que no lo puedes comprobar y que deberías elegir en consecuencia el saldo que dejas ahí. Con Bitcoin y otras tenencias que mantienes durante meses, pocos argumentos avalan dejarlas en una plataforma.

Qué marcará la dirección en el cuarto trimestre

Que la cifra baje en el cuarto trimestre depende de dos evoluciones. La primera es el alcance: mientras las auditorías cubran el contrato y dejen la custodia fuera, sigue abierta la vía por la que pasó el 77 % de las pérdidas. La segunda es el trato que reciben las brechas conocidas. Una parte del daño surgió en puntos para los que ya existía una corrección.

Las dos se pueden observar desde fuera. Que un proveedor publique un alcance ampliado es una señal sólida. Si se queda con el informe antiguo y su fecha antigua, la situación no cambia, por mucho que luzca el sello.

Auditorías cripto: un sello sin fecha ni alcance no te dice nada

Tres pasos para aplicar la lección del informe de Hacken a tu propia cartera:

1. Reparte las tenencias. Fija qué importe necesitas en un exchange para la operativa corriente y lleva el resto a custodia propia. Los dispositivos y sus diferencias están en la comparativa de carteras hardware.
2. Revisa la plataforma. Para la parte que se queda, consulta la licencia y la fecha de auditoría de tu proveedor. El repaso de los exchanges cripto regulados muestra quién está bajo supervisión MiCA en Alemania.
3. Asegura el canal de compra. Compra un dispositivo de custodia solo al fabricante o a un distribuidor señalado, y configúralo tú mismo. Para sopesar entre dispositivo y aplicación ayuda la comparativa de carteras de software.

(18 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)