Las pérdidas cripto del Q3 2026 alcanzan $1,18 mil millones

La firma de seguridad Hacken informa que los incidentes relacionados con criptomonedas sumaron $1,18 mil millones en 107 casos durante el tercer trimestre de 2026. Aproximadamente el 77% de esa suma —unos $906 millones— provino de vulnerabilidades en proveedores, herramientas de desarrollo, fallos divulgados públicamente pero no corregidos, o elementos de infraestructura que quedaron fuera de las revisiones de seguridad formales.

Cuatro episodios representaron la mayor parte del daño: Bitget perdió $387 millones, Liquid Network sufrió una explotación de $320 millones, Tectonic vio drenados $120 millones y una debilidad en el firmware de Coldcard condujo a un robo estimado en $115 millones. El trimestre se posiciona como el más costoso desde los primeros tres meses de 2025, cuando la pérdida de $1,4 mil millones de Bybit a manos de Corea del Norte elevó el total del periodo a $1,6 mil millones.

La concentración fue extrema: solo los cuatro mayores incidentes representaron aproximadamente el 80% de las pérdidas del trimestre, mientras que 98 sucesos registraron menos de $10 millones cada uno. La mediana de pérdida fue de $670.000. Las fallas en contratos inteligentes continuaron siendo la superficie de ataque más común, responsables de $228 millones distribuidos en 71 casos distintos, aunque las brechas de proveedores e infraestructura acapararon el mayor valor total.

La recuperación y la intervención de los operadores redujeron el impacto neto

Las víctimas y los protocolos recuperaron o anularon cerca de $387 millones, lo que representa el 33% de las pérdidas brutas. Actores de white-hat devolvieron $272 millones tras la brecha en Liquid Network —aproximadamente el 85% de lo sustraído. Los validadores de Cronos revirtieron 114 minutos de historial de cadena finalizado después del exploit en Tectonic, deshaciendo $111,2 millones de los $120,4 millones en posiciones de préstamo comprometidas. Circle y Tether congelaron aproximadamente $340.000 vinculados al robo en Bitget.

Los operadores absorbieron $410 millones adicionales en pérdidas de usuarios desde sus propias reservas. Bitget desplegó $387 millones de su fondo de protección de usuarios, mientras que Triple-A, Coinsbuy y TAC cubrieron en conjunto alrededor de $22 millones, asegurando que los clientes mantuvieran sus fondos incluso cuando los activos robados permanecían en manos de los atacantes. Las pérdidas netas no recuperadas ni cubiertas ascendieron a $384 millones, o el 32% del total.

Hacken instó a la industria a fortalecer la ciberseguridad de los proveedores externos, la infraestructura de desarrollo y las dependencias externas que normalmente quedan fuera del alcance de las auditorías. La firma también recomendó a los protocolos ampliar las revisiones de seguridad para incluir oráculos, operadores de puentes, acuerdos de custodia, autoridades de firma y otros componentes con privilegios elevados.