Los protocolos de finanzas descentralizadas (DeFi) que contaban con auditorías previas concentraron la mayor parte de las pérdidas registradas en ataques cuyo recorrido quedó fuera del alcance de esas revisiones, según una prepublicación elaborada por investigadores vinculados a la firma de seguridad ack3 y a la Universidad Técnica Checa de Praga.
El estudio examinó 135 incidentes comunicados entre el 1 de enero y el 29 de junio de 2026, con pérdidas atribuidas de 939,86 millones de dólares. Los autores localizaron auditorías públicas anteriores al incidente en 68 casos. En ese grupo, clasificaron 46 rutas de ataque como externas a todos los alcances de auditoría identificados, 20 como cubiertas al menos por una revisión y dos como no concluyentes.
La mayoría de las pérdidas quedó fuera del alcance revisado
Los 46 incidentes clasificados como externos representaron el 67,6% de los casos con auditoría identificada, pero concentraron 680,97 millones de dólares de pérdidas sobre un total de 721,24 millones. Es decir, el 94,4% de las pérdidas de ese subconjunto.
La cifra está muy condicionada por dos incidentes de gran tamaño: los atribuidos a Kelp DAO, con 292 millones de dólares, y a Drift Protocol, con 285 millones. Al excluir ambos casos, la proporción de pérdidas asociadas a rutas fuera del alcance de las auditorías baja al 72,1%: 103,97 millones sobre 144,24 millones.
Los investigadores advierten de que estos datos no permiten medir la eficacia de las auditorías ni demostrar que los límites de una revisión causaran las pérdidas. El análisis tampoco compara protocolos auditados y no auditados en condiciones equivalentes, ni mide cuánto tiempo estuvo expuesto cada sistema. Además, puede haber auditorías privadas o incidentes no comunicados, y las cifras de pérdidas no son necesariamente homogéneas.
El conjunto analizado incluye 122 incidentes confirmados y 13 considerados probables. De todos ellos, 35 no tenían una auditoría identificada y en otros 32 se desconocía el historial de auditorías. Ninguno de esos dos grupos entra en el cálculo sobre el alcance de las revisiones.
Una auditoría no cubre automáticamente todo el sistema
La conclusión central de la investigación es más limitada, pero también más relevante para los usuarios: historial de auditoría y alcance de auditoría son variables distintas. Una revisión puede referirse a contratos concretos, una versión determinada del código o un componente específico, sin extenderse a actualizaciones posteriores, claves privilegiadas, interfaces, retransmisores, oráculos, servicios en la nube o procesos de respuesta ante incidentes.
El caso de ICON Network ilustra ese problema. En un ataque de repetición ocurrido el 27 de agosto, dos partes del proceso de retirada interpretaron de forma diferente el mismo mensaje. Según el análisis posterior de la fundación, un contrato de migración utilizaba los bits altos del número de serie para comprobar si una retirada era única, mientras que la firma criptográfica solo cubría los 256 bits bajos. El atacante reutilizó así dos mensajes legítimamente firmados en 1.492 ocasiones durante unos 20 minutos; 1.490 llamadas tuvieron éxito.
El incidente liberó 119,866 millones de ICX y 531.600 bnUSD. ICON situó la pérdida neta confirmada, en el momento de su informe, en unos 150,2 ETH y 31.204 USDC. La fundación aseguró que se habían recuperado 531.600 bnUSD y 1,366 millones de SODA, y que los depósitos, saldos y posiciones de los usuarios no se habían visto afectados.
ICON indicó que el contrato de migración había sido auditado y que también se había revisado la lógica de retransmisión. Sin embargo, el desajuste concreto entre la comprobación de unicidad y el valor firmado no quedó cubierto por esas conclusiones. El episodio muestra que una mención genérica a una auditoría no permite saber si todas las partes de una ruta operativa fueron examinadas conjuntamente.
La vigencia de la revisión también importa
El incidente de agosto comunicado por aelf plantea otra dificultad. La empresa describió un compromiso del entorno de ejecución de los nodos y una respuesta controlada, pero la información pública disponible no permite vincular esa ruta a un informe de auditoría concreto ni determinar si quedó dentro o fuera de su alcance.
Por eso, el estudio reclama una información de seguridad más específica y actualizada: repositorio y versión revisados, direcciones desplegadas, componentes excluidos, cambios posteriores, roles privilegiados, custodia de claves, aislamiento del entorno, alertas y mecanismos de parada. Una auditoría puede aportar valor, pero no garantiza por sí sola que el sistema desplegado siga siendo idéntico al que fue examinado.
