Hackeos de criptomonedas: 2,81 mil millones de dólares robados en 2026, octubre ya en 116 millones

<< Una pequeña fuga puede hundir un gran barco >>, advertía Benjamin Franklin. El sector de las criptomonedas lo comprueba nuevamente este otoño: unos Ledger manipulados en un solo revendedor fueron suficientes para hacer desaparecer cerca de 90 millones de dólares.

Octubre, ya 116 millones. Los piratas han sustraído 2,81 mil millones de dólares al sector de las criptomonedas desde enero, según el panel de control de CertiK actualizado al 12 de octubre.

El mes en curso ya pesa 116,1 millones de dólares, después de 1,26 mil millones de dólares robados en el tercer trimestre. Y sin el único hackeo de Bybit, todo el año 2025 ya ha sido superado.
Los puntos clave de este artículo:

• Los piratas han sustraído 2,81 mil millones de dólares al sector de las criptomonedas entre enero y el 12 de octubre de 2026, de los cuales 116,1 millones en octubre, según CertiK.
• Septiembre es el peor mes del año, con 773,4 millones de dólares robados en 105 incidentes.
• Sin el hackeo de Bybit, 2026 ya supera el total de 2025.
• Ledger ha confirmado un implante de hardware en un dispositivo vendido por el revendedor CryptoBilis.

Septiembre 2026: el peor mes del año para los hackeos

Septiembre ha costado 773,4 millones de dólares en 105 incidentes, según el recuento actualizado de CertiK. PeckShield llega a 766,5 millones en 55 incidentes importantes. Es el peor mes de 2026, por delante de abril. El hackeo de Bitget pesa 388 millones de dólares y el de Liquid Network 320 millones. Más de 270 millones han sido restituidos desde entonces por los piratas de Liquid Network, lo que explica la mayor parte de los 284,8 millones congelados o devueltos en el mes. Septiembre 2026: 773,4 millones de dólares robados en 105 incidentes, de los cuales 284,8 millones congelados o restituidos. Fuente: CertiK, datos al 12 de octubre de 2026.

Safe Wallet (7,8 millones), DCENT (6 millones) y Duelbits (5,9 millones) completan la lista. En cuanto al método, el diagnóstico es contundente. Las fallas de código e infraestructura explican el 95 % de las pérdidas del mes (733,8 millones de dólares), frente a solo 6,2 millones por phishing, según el informe mensual de CertiK. Pérdidas mensuales debido a los hackeos de criptomonedas desde 2023: el pico de febrero de 2025 corresponde al hackeo de Bybit, el de septiembre de 2026 al más alto del año. Fuente: CertiK, datos al 12 de octubre de 2026.

Cinco hackeos concentran el 59 % de las pérdidas de 2026

Los cinco mayores incidentes del año pesan aproximadamente 1,57 mil millones de dólares, es decir, cerca del 59 % de las pérdidas hasta finales de septiembre, según los datos de CertiK compilados por CryptoSlate. El quinto, una víctima no identificada, ha perdido 284,8 millones de dólares.

Montos CertiK, 2026

No todo está perdido. 452,4 millones de dólares han sido congelados o devueltos desde enero, lo que reduce la pérdida neta a 2,35 mil millones de dólares. Queda la pista norcoreana. Elliptic atribuye a Pyongyang más de mil millones de dólares en robos en 2026, en más de 51 incidentes, y considera que es "altamente probable" la implicación de Corea del Norte en el hackeo de Bitget. LayerZero también ha señalado al grupo Lazarus para KelpDAO. Desde enero de 2026: 2,81 mil millones de dólares robados en 693 incidentes, lo que equivale a 2,35 mil millones de pérdidas netas tras 452,4 millones congelados o devueltos. Fuente: CertiK, datos al 12 de octubre de 2026.

Hacks de criptomonedas: 2026 ya supera a 2025 sin Bybit

CertiK había contabilizado 3,35 mil millones de dólares en pérdidas durante todo 2025. La cifra parece aún lejana. Pero se basaba en un solo robo: el robo de Bybit en febrero de 2025, aproximadamente 1,45 mil millones de dólares atribuidos a Lazarus. Si lo eliminamos, 2025 cae a alrededor de 1,9 mil millones. A mediados de octubre, 2026 ya ha sido mucho peor sin ningún hackeo de este tamaño.

La amenaza también ha cambiado de cara. En el primer semestre, CertiK colocó en primer lugar las comprometidas de carteras (444,5 millones de dólares en 33 incidentes), por delante del phishing (366,3 millones en 63 incidentes). Las fallas de código siguen siendo las más numerosas con 204 incidentes. Sin embargo, solo representan 151,6 millones de dólares. Los piratas informáticos atacan con menos frecuencia, pero con mucha más fuerza, apuntando a la infraestructura de las plataformas.

Y la violencia física sigue la misma tendencia. CertiK contabilizó 52 "wrench attacks" (agresiones para forzar a una víctima a entregar sus claves) en el primer semestre, frente a 39 un año antes. Los montos en juego pasan de 10,5 a 124,2 millones de dólares, una tendencia que Francia conoce bien con sus repetidos secuestros de criptomonedas.

Octubre: un hardware comprometido y una explotación DeFi

Octubre muestra ya 116,1 millones de dólares en pérdidas por 26 incidentes hasta el día 12 del mes, según CertiK. La mayor parte proviene de dispositivos Ledger manipulados. El resto proviene en gran parte de la explotación del protocolo 79thVault en BNB Chain, cifrada en 12,5 millones de dólares en las primeras estimaciones. Octubre de 2026: ya se han robado 116,1 millones de dólares en 26 incidentes en doce días. Fuente: CertiK, datos al 12 de octubre de 2026.

Ledger confirmó el 10 de octubre la presencia de un implante de hardware no autorizado en el dispositivo de un cliente. Todos los casos confirmados involucran dispositivos vendidos por un mismo revendedor. El fabricante asegura que sus propios sistemas y canales de venta directos no han sido afectados.

Este revendedor, CryptoBilis, operaba en Indonesia, Malasia y Filipinas. Las estimaciones on-chain varían de 86 a 93 millones de dólares robados de más de 300 billeteras de Bitcoin, Ethereum y Tron. Tether ha congelado cerca de 10 millones de dólares en USDT. El revendedor había cambiado de propietario antes de los robos, sin que se haya establecido ningún vínculo con el ataque en esta etapa.

Para los poseedores, la consigna de Ledger se resume en pocas palabras. No inicialicen un dispositivo comprado a este revendedor en los 90 últimos días. Si ya está configurado, transfieran los fondos a una nueva frase de recuperación, en un dispositivo comprado directamente al fabricante. Y tengan en cuenta que ningún empleado de Ledger les pedirá jamás sus 24 palabras.

El seguro no está a la altura. Desde enero de 2025 hasta julio de 2026, los protocolos de seguro on-chain solo han pagado alrededor de 33 millones de dólares, para 3,63 mil millones de pérdidas registradas por CoinGecko. Cinco de los nueve protocolos monitoreados se han vuelto inactivos o han cambiado de actividad, como detalla nuestro informe del tercer trimestre.