Los inversores institucionales elevan sus exigencias de seguridad en blockchain

Una auditoría de contratos inteligentes ya no basta para que los inversores institucionales consideren seguro un proyecto blockchain. Los inversores profesionales se fijan cada vez más en la seguridad diaria del proyecto. Y es precisamente ahí donde parecen concentrarse los mayores riesgos.

Así se desprende del Security & Compliance Report de la firma de ciberseguridad Hacken correspondiente al segundo trimestre de 2026. Los inversores ya no analizan solo el código de un proyecto, sino también aspectos como la gestión de accesos, los procedimientos de seguridad y la forma en que una organización responde a los ciberataques.

El mayor riesgo no está en los contratos inteligentes

Para el estudio, Hacken analizó 1.427 proyectos blockchain con una capitalización de mercado de al menos 1 millón de dólares. El informe muestra que solo el 9% recurre a una supervisión continua de seguridad por parte de un tercero independiente. Apenas el 4% combina esa vigilancia con una auditoría de seguridad y un programa activo de recompensas por vulnerabilidades, en el que se premia a hackers éticos por informar de fallos.

En el segundo trimestre, los incidentes de seguridad provocaron pérdidas de unos 764 millones de dólares. Llama la atención que el 88,3% de ese daño no se debiera a errores en los contratos inteligentes. La mayoría de los ataques se produjo por el robo de claves de acceso o por el abuso de la infraestructura subyacente.

Según Hacken, esto demuestra que un informe de auditoría positivo no garantiza que un proyecto blockchain sea seguro.

Los proyectos que no pueden demostrar de forma convincente su seguridad diaria corren así el riesgo de ahuyentar a los inversores institucionales. Eso puede traducirse en menos inversión, primas de seguro más elevadas y mayores dificultades para colaborar con actores profesionales.

Federico Bagiotti, responsable de gestión de riesgos en Abraxas Capital y coautor del informe, señala que una seguridad insuficiente suele ser un motivo decisivo para descartar una inversión, incluso cuando el proyecto resulta atractivo en otros aspectos.

Rajeev Bamra, responsable de estrategia de economía digital en Moody’s Ratings, también observa esa tendencia. Según explica, la resiliencia operativa se ha convertido ya en uno de los elementos clave a la hora de evaluar la seguridad y la gestión de riesgos.

Los inversores miran más allá de una auditoría

Si antes una auditoría de contratos inteligentes solía ser suficiente, hoy los inversores institucionales examinan muchos más aspectos. Quieren saber, por ejemplo, quién puede aprobar transacciones, hasta qué punto un proyecto depende de terceros, con qué rapidez se resuelven los incidentes de seguridad y qué medidas se han adoptado para evitar abusos en los accesos.

Abraxas Capital también comprueba si los proyectos utilizan bloqueos temporales para cambios importantes, listas de direcciones autorizadas para retiradas, aprobaciones de varias partes y si los procesos críticos dependen de una única clave o de un solo validador.

La normativa europea también eleva el listón

No solo los inversores están endureciendo sus exigencias. Los supervisores también ponen cada vez más el foco en la seguridad operativa. Según Jody Mettler, directora de operaciones de BitGo, los clientes institucionales plantean con más frecuencia preguntas sobre la gestión de accesos, la respuesta ante incidentes y la continuidad de los servicios de custodia. Esta evolución está vinculada en parte al Reglamento europeo de Resiliencia Operativa Digital (DORA), que impone requisitos más estrictos sobre la resiliencia digital de las entidades financieras.

Una de las conclusiones llamativas del informe es que 14 proyectos blockchain que sufrieron un ataque en el segundo trimestre ya habían superado previamente una auditoría de seguridad. Los ataques, por tanto, no se produjeron a través de los propios contratos inteligentes, sino mediante dispositivos de firmantes, validadores de puentes, sistemas de backend, claves de administrador y contratos obsoletos que seguían activos.

Para el estudio, Hacken analizó exclusivamente activos cotizados en las 50 mayores plataformas centralizadas de negociación según el Trust Score de CoinGecko. Quedaron fuera los activos encapsulados, las monedas estables y los activos reales tokenizados. Los investigadores señalan además que solo se tuvieron en cuenta medidas de seguridad disponibles públicamente, por lo que los acuerdos internos o privados de seguridad podrían no haber quedado reflejados en el análisis.