La próxima batalla de la seguridad cripto: más allá de los contratos inteligentes, ¿cómo reconstruir el sistema de autorización?

Autor: Ken Wong (fundador de BitDATA PayFi Infra, exinvestigador de ciberseguridad)

Compilación: AididiaoJP, Foresight News

Durante años, la industria cripto ha tratado la seguridad principalmente como un problema de contratos inteligentes. Esto tuvo sentido durante mucho tiempo. Los contratos inteligentes, las claves privadas, las auditorías y la seguridad de las carteras siguen siendo indispensables.

Pero la reciente ola de incidentes sugiere que la próxima gran crisis de seguridad puede no venir de un fallo criptográfico. Podría ser más sutil: el sistema ejecutó fielmente las operaciones para las que estaba autorizado, pero el problema es que esa autorización nunca debió ser de confianza desde el principio.

1. La estructura de pérdidas ha cambiado: casi la mitad ya no son "vulnerabilidades de código"

El informe de seguridad y cumplimiento del tercer trimestre de 2026 de Hacken muestra que en ese trimestre la industria sufrió 107 incidentes, con pérdidas de 1.180 millones de dólares, un aumento intertrimestral del 55%. Más reveladora es la estructura de pérdidas: el 48% provino de vulnerabilidades en contratos inteligentes y el 40% de fallos de control de acceso y operativos.

Es decir, casi la mitad de las pérdidas ya no son errores de código en el sentido tradicional, sino problemas de identidad, permisos, flujos de firma o límites de confianza operativa más amplios.

Esta distribución es clave. Las vulnerabilidades de los contratos inteligentes a menudo pueden corregirse con mejores auditorías, verificación formal y una disciplina de ingeniería más estricta. Pero los fallos de control de acceso y operativos requieren un enfoque completamente diferente.

Obliga a la industria a responder preguntas más difíciles: ¿quién tiene autoridad para mover fondos? ¿Qué sistemas heredan los derechos de firma? ¿Qué ocurre si un servicio "autorizado" empieza a actuar maliciosamente? ¿Cuánto daño puede causar realmente una identidad comprometida?

Esto ya no es un problema puro de programación Web3, sino un problema de infraestructura financiera.

2. La superficie de ataque se desborda: la disponibilidad también es seguridad

La seguridad cripto no está aislada. Se encuentra en un entorno global de amenazas cibernéticas, donde la escala, la velocidad y la flexibilidad operativa de los ataques están aumentando.

El informe de amenazas DDoS del tercer trimestre de 2026 de Cloudflare indica que en ese trimestre se mitigaron 18,2 millones de ataques DDoS a nivel de red y 14,4 billones de solicitudes HTTP DDoS, con un promedio de aproximadamente 8.226 ataques a nivel de red por hora. Los ataques de corta duración y bajo ancho de banda aumentaron un 208%, los ataques de amplificación DNS crecieron un 215% y los ataques de inundación UDP un 122%. Los objetivos de los ataques también están más dispersos.

Estos datos implican dos cosas para las criptomonedas y PayFi.

Primero, el riesgo cibernético ya no se centra solo en objetivos de alto valor como los exchanges. Bancos, procesadores de pagos, proveedores de infraestructura de red, operadores de telecomunicaciones y proveedores de servicios están todos en la misma superficie de ataque en expansión.

Segundo, vuelve a poner de relieve un hecho que muchos proyectos cripto aún subestiman: la disponibilidad, la resiliencia y la continuidad operativa también son cuestiones de seguridad.

Un sistema de seguridad no solo debe prevenir robos, sino también mantener la confianza bajo presión, contener rápidamente los abusos y recuperarse de forma segura.

3. El detalle clave del incidente de Binance: la seguridad de las claves privadas no equivale a la seguridad de las transacciones

En su comunicado de seguridad del 29 de octubre de 2026, Binance reveló que aproximadamente 6.340 millones de dólares en activos digitales se vieron afectados, y unos 2.850 millones fueron congelados o interceptados; hasta el 31 de octubre, el 98% de los activos de tokens afectados se habían recuperado.

Pero desde el punto de vista de la arquitectura de seguridad, lo más crítico es la ruta del ataque: el atacante accedió sin autorización al servicio interno de firma de transacciones de la cartera, eludiendo el proceso habitual de retiro para iniciar operaciones.

Este detalle es más importante que el monto. Demuestra que proteger las claves privadas no equivale a proteger los permisos de transacción.

Un sistema puede guardar las claves en infraestructura reforzada, establecer flujos de firma internos y aislar carteras. Pero si un atacante controla un sistema o servicio que ya tiene permisos legítimos de transacción, la "validez criptográfica" no es suficiente.

Una firma válida no equivale a una decisión comercial válida. Esto es precisamente lo que la industria debe distinguir con seriedad ahora.

4. Autenticación, autorización y legitimidad de la transacción son tres cosas distintas

En las finanzas digitales, al menos tres preguntas deben separarse:

• ¿Quién inicia la solicitud? Esto es autenticación de identidad.
• ¿Qué se le permite hacer a esta identidad? Esto es autorización.
• En el contexto actual, ¿debe aprobarse esta transferencia específica? Esto es legitimidad de la transacción.

Demasiados sistemas solo responden a las dos primeras. Si las credenciales de la API son válidas, el firmante ha aprobado y el flujo de trabajo está técnicamente autorizado, la transacción se considera confiable. Esta suposición es cada vez más peligrosa.

Un token de sesión robado puede eludir la verificación de contraseña; un proveedor comprometido puede convertirse en un punto de entrada; un servicio interno con privilegios excesivos puede convertirse en un canal de transacciones; un firmante legítimo también puede aprobar un pago ilegítimo.

Por lo tanto, la siguiente fase de la seguridad cripto debe expandirse de la protección de activos al control de permisos. La pregunta ya no es solo "¿puede el atacante entrar al sistema?", sino más importante: una vez comprometida una identidad confiable, ¿qué puede hacer realmente?

Ese es un indicador de resiliencia más significativo.

5. Cuanto más complejo es PayFi, más claros deben ser los límites de permisos

A medida que los activos digitales se conectan cada vez más profundamente con canales bancarios, cuentas virtuales, liquidación OTC, tarjetas, adquisición de comercios y pagos programables, los límites de confianza se vuelven más complejos.

En la pila tecnológica moderna de PayFi, una transacción puede pasar por una cartera o custodio, una puerta de enlace API, una capa de orquestación, un motor de cumplimiento o control de riesgos, un componente de firma o liquidación, y uno o más socios bancarios o de pago. Cada capa tiene sus propios permisos, dependencias y supuestos operativos.

El desafío de ingeniería ya no es solo "mover el dinero más rápido", sino garantizar que los permisos, las responsabilidades, el control de riesgos y la auditabilidad se mantengan consistentes durante todo el ciclo de vida del pago.

Esto es aún más importante cuando los agentes de IA y los servicios automatizados actúan en nombre de usuarios o empresas en el futuro. Una identidad de máquina puede estar autorizada para iniciar solicitudes, pero eso no significa que deba poder aprobar nuevos beneficiarios, ampliar límites o liberar fondos sin verificación independiente.

La identidad de máquina no equivale a permisos financieros. La autoridad delegada tampoco debe convertirse en autoridad ilimitada.

6. De la protección de activos al control de permisos

La industria todavía necesita mejores contratos inteligentes, mejores auditorías y una mejor gestión de claves.

Pero las últimas tendencias indican que el próximo gran fallo de seguridad puede no ser un fallo criptográfico, sino el abuso de permisos confiables.

Por lo tanto, la siguiente fase de la seguridad cripto y PayFi debe priorizar simultáneamente cuatro cosas:

• Reducir los permisos. Las identidades y los servicios deben tener solo los privilegios mínimos.
• El control a nivel de transacción debe seguir el ritmo. Las acciones de alto riesgo requieren revisión contextual, límites y verificaciones independientes.
• La resiliencia operativa debe ser medible. La seguridad no solo se mide por lo que se bloquea, sino también por lo que ocurre cuando fallan los componentes confiables.
• La auditoría y la rendición de cuentas deben ser confiables. El sistema debe dejar rastros que indiquen quién inició, quién autorizó y quién ejecutó los movimientos de fondos.

Aquí es donde la ciberseguridad, la infraestructura financiera y los pagos programables comienzan a converger.

7. Preguntas que la industria debe responder

Si un atacante obtiene la identidad de un sistema confiable o controla un servicio de transacciones autorizado, ¿cuánta protección queda realmente?

Yendo más allá: auditorías de contratos inteligentes, control de identidad, autorización a nivel de transacción, resiliencia operativa, ¿qué debe priorizarse en la siguiente fase?

Mi respuesta es que no compiten entre sí, sino que se complementan. Pero el orden importa, porque el capital, el tiempo de ingeniería y la atención de la gestión son limitados.

La próxima crisis de seguridad no esperará a que la industria termine de debatir.