Hackeos cripto en 2026: pérdidas netas de 2.350 millones, con exchanges y DeFi a la cabeza

Los hackeos cripto acumulan en 2026 pérdidas netas de unos 2.350 millones de dólares, una vez descontados los fondos congelados y los devueltos por los atacantes. Así lo indican los datos de Lightning.news. La mayor parte del daño se concentra en exchanges centralizados y en protocolos de finanzas descentralizadas (DeFi). Las fallas en billeteras de hardware, en cambio, ocupan un lugar secundario en el recuento.

Septiembre fue el mes más costoso del año hasta ahora. Según cifras que la analista Stacy Muur publicó en X, ese mes por sí solo sumó cerca de 768 millones de dólares en pérdidas, casi un tercio del total anual.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Bitget y Liquid, los golpes que marcaron septiembre

El episodio más grave fue el ataque a Bitget del 24 de septiembre. Los atacantes vaciaron billeteras calientes y tibias del exchange, es decir, aquellas que permanecen conectadas a internet (total o parcialmente) para atender retiros y operaciones diarias. El drenaje rondó los 387,5 millones de dólares, de acuerdo con un análisis de Galaxy Research que examina el incidente y sus similitudes con el patrón del hackeo a Bybit.

La comparación no es menor. El caso Bybit se convirtió en referencia de cómo grupos organizados explotan la infraestructura operativa de los exchanges, más que fallas en las cadenas de bloques en sí. Si el ataque a Bitget sigue ese guion, el problema de fondo vuelve a ser el mismo: los procesos internos de firma y custodia.

El segundo foco de septiembre fue un error en Elements, la base de código sobre la que funciona Liquid Network, la cadena lateral de bitcoin desarrollada por Blockstream. Una cadena lateral es una red paralela conectada a bitcoin que permite mover activos con otras reglas y mayor velocidad. Que el fallo estuviera en el software y no en la custodia de una empresa muestra que el riesgo también llega a capas técnicas consideradas sólidas.

Exchanges centralizados y DeFi concentran los hackeos cripto

El reparto de las pérdidas deja una lectura clara. Los hackeos cripto de mayor tamaño en 2026 no salieron de usuarios individuales con dispositivos defectuosos, sino de plataformas que concentran enormes volúmenes de fondos de terceros. Un exchange con cientos de millones en billeteras operativas es un objetivo mucho más rentable que cualquier usuario aislado.

En DeFi el problema es distinto. Los contratos inteligentes, programas que ejecutan operaciones de forma automática en la cadena, pueden tener errores de lógica que un atacante aprovecha en minutos. Allí no hace falta robar claves: basta con encontrar la falla antes que los auditores.

Las billeteras de hardware tampoco salieron indemnes este año. Pero su peso en el total es reducido frente a los incidentes institucionales, un dato que contrasta con la percepción habitual de que el usuario final es el eslabón más débil.

La seguridad de los exchanges sigue en el centro del debate. Hace poco, el incidente de Coinbase vinculado a Amplitude volvió a poner bajo la lupa la exposición de datos de clientes en plataformas reguladas, aunque la empresa negó haber sufrido una brecha.

El papel de los congelamientos y las devoluciones

La cifra de 2.350 millones es neta. Eso significa que ya resta los fondos que emisores de stablecoins, exchanges o los propios atacantes congelaron o devolvieron. En el sector se volvió frecuente que parte del botín se bloquee antes de ser lavado, sobre todo cuando se mueve en tokens con funciones de congelamiento.

Aun así, la diferencia entre pérdidas brutas y netas no alcanza para cambiar el diagnóstico. El dinero recuperado suele ser una fracción menor, y los grandes robos atribuidos a grupos sofisticados rara vez terminan con devoluciones.

Qué implica para usuarios y plataformas

Para quienes mantienen saldos en exchanges, el balance de 2026 reabre la discusión sobre cuánto dinero conviene dejar en manos de terceros. Las plataformas, por su parte, enfrentan presión para reducir lo que guardan en billeteras calientes y endurecer sus esquemas de firma múltiple.

Algunas soluciones ya están en desarrollo. Google, por ejemplo, prueba con bancos un sistema de custodia cripto con claves divididas, un enfoque que busca evitar que una sola clave comprometida permita vaciar los fondos. En la red de bitcoin, los desarrolladores de Lightning también endurecieron las reglas de las facturas BOLT11 tras un ataque a retiros, otra señal de que las capas sobre bitcoin están corrigiendo vulnerabilidades sobre la marcha.

Con el último trimestre aún por delante, el recuento puede crecer. Lo que muestran los datos hasta ahora es que la seguridad del sector depende menos del código de bitcoin o Ethereum que de cómo empresas y protocolos gestionan las claves y el software que construyen encima.