Cuatro ataques concentraron cerca del 80% del dinero comprometido en el mercado cripto durante el tercer trimestre de 2026, con Bitget y Liquid Network entre los casos más costosos.
En total, se registraron 107 incidentes que dejaron pérdidas brutas por u$s1.180 millones, mientras las fallas en componentes externos ganaron protagonismo frente a las vulnerabilidades de los contratos inteligentes.
Bitget sufrió el mayor ataque del período, con pérdidas estimadas en u$s387 millones, después de que una vulnerabilidad en un producto de seguridad externo permitiera ejecutar transferencias no autorizadas desde billeteras calientes.
El incidente, detectado el 24 de septiembre, afectó activos distribuidos en distintas redes y obligó al exchange a revisar sus sistemas antes de restablecer gradualmente los retiros, mientras prometió cubrir los fondos afectados con su fondo de protección.
Liquid Network registró otro golpe importante, valuado en u$s320 millones, después de que una vulnerabilidad permitiera generar aproximadamente 4.000 L-BTC sin respaldo y retirar bitcoins de las reservas de la red.
En Tectonic, un protocolo de préstamos de Cronos, el ataque provocó pérdidas por u$s120 millones, pero los validadores revirtieron 114 minutos del historial de la red y deshicieron operaciones vinculadas con unos u$s111,2 millones.
El cuarto caso involucró el firmware de Coldcard, cuya vulnerabilidad fue asociada con u$s115 millones en pérdidas; el error, originado en versiones de 2021, debilitó la generación de semillas y permitió reconstruir claves de billeteras afectadas.
El relevamiento de Hacken atribuyó u$s906 millones, equivalentes al 77% de las pérdidas brutas, a problemas en proveedores externos, herramientas de desarrollo y correcciones de seguridad que no habían sido instaladas oportunamente.
En cambio, los contratos inteligentes acumularon la mayor cantidad de incidentes, con 71 ataques que ocasionaron pérdidas por u$s228 millones, una diferencia que expone la variedad de riesgos dentro del ecosistema.
La distribución también muestra que la mayoría de los episodios tuvo un impacto individual limitado: 98 de los 107 casos generaron pérdidas inferiores a u$s10 millones, mientras la mediana se ubicó en u$s670.000.
El balance del trimestre fue el más costoso desde el primer trimestre de 2025, cuando el ataque a Bybit provocó pérdidas por u$s1.600 millones y volvió a poner bajo presión la seguridad del sector.
Las respuestas variaron según cada ataque: personas que se identificaron como hackers éticos devolvieron u$s272 millones en Liquid Network, mientras Bitget recurrió a su fondo de protección para cubrir las pérdidas de sus usuarios.
Según Hacken, u$s387 millones fueron devueltos o revertidos después de los incidentes, y otros u$s410 millones quedaron cubiertos con recursos de los operadores, aunque unos u$s384 millones permanecieron sin devolución ni compensación.
La firma recomendó ampliar las auditorías para incluir sistemas de custodia, puentes, oráculos, proveedores y herramientas de autorización, porque una plataforma puede quedar expuesta incluso cuando sus contratos inteligentes fueron revisados.
El informe advierte que la seguridad depende de toda la infraestructura conectada a cada servicio, ya que una falla externa puede comprometer operaciones y fondos aunque el código principal no presente vulnerabilidades conocidas.