PUNTOS IMPORTANTES:
- Los ataques y fraudes relacionados con Web3 provocaron pérdidas brutas de aproximadamente 766,4 millones de USD durante septiembre, el mayor monto mensual registrado en 2026 según datos de CertiK.
- Bitget y Liquid Network concentraron más del 92% de las pérdidas del mes, con incidentes valorados en 387,5 millones de USD y 318,7 millones de USD, respectivamente.
- Alrededor de 270,6 millones de USD fueron recuperados o congelados, por lo que los 766,4 millones de USD no deben interpretarse como pérdidas económicas definitivamente irrecuperables.
Septiembre terminó como el mes más costoso de 2026 para la seguridad del ecosistema cripto.
Según datos publicados por la firma de seguridad blockchain CertiK, los ataques confirmados contra vulnerabilidades y los incidentes de phishing ocasionaron aproximadamente 766,4 millones de USD en pérdidas brutas durante el mes.
La cifra exacta recopilada por CertiK ascendió a 766.451.111 USD, y septiembre también registró el mayor número de incidentes de seguridad en lo que va del año.
Bitget concentra más de la mitad de las pérdidas
El mayor incidente fue el ataque contra el exchange Bitget ocurrido el 24 de septiembre.
La plataforma terminó calculando en 387,5 millones de USD los activos afectados, después de que una estimación inicial situara la cifra en 351,6 millones de USD.
La investigación determinó que el atacante habría explotado una vulnerabilidad en un producto de seguridad de terceros para obtener credenciales internas y posteriormente generar órdenes fraudulentas de retiro.
Bitget asegura que las claves privadas y sus billeteras frías no fueron comprometidas. La compañía también señaló que utilizará su fondo de protección para absorber el impacto y evitar que las pérdidas recaigan directamente sobre los saldos de sus clientes.
La empresa comenzó además a restablecer los retiros progresivamente desde el 28 de septiembre. Bitget
Liquid Network sufrió el segundo mayor incidente
El segundo caso más importante afectó a Liquid Network, la sidechain de Bitcoin desarrollada por Blockstream.
CertiK valoró el incidente en aproximadamente 318,7 millones de USD. La vulnerabilidad permitió crear L-BTC sin el respaldo correspondiente y posteriormente retirar cerca de 4.000 BTC hacia la red principal de Bitcoin.
Sin embargo, este caso demuestra por qué las pérdidas brutas deben interpretarse con cautela.
El responsable posteriormente devolvió 3.400 BTC, mientras alrededor de 600 BTC permanecían pendientes. Por esta razón, una parte considerable del valor contabilizado inicialmente como afectado no terminó convirtiéndose en una pérdida definitiva.
Dos ataques explican casi todo el daño de septiembre
Los incidentes de Bitget y Liquid Network sumaron aproximadamente 706,2 millones de USD, equivalentes a más del 92% de todas las pérdidas registradas por CertiK durante septiembre.
El resto de los ataques fueron considerablemente menores.
Entre ellos aparecen incidentes relacionados con usuarios de Safe Wallet por unos 7,8 millones de USD, D’CENT por aproximadamente 6 millones de USD, Duelbits por cerca de 6 millones de USD, Astroport por 4,4 millones de USD y Nostra Finance por unos 3,5 millones de USD.
Esto significa que el récord mensual no fue provocado únicamente por una proliferación de pequeños ataques, sino principalmente por dos incidentes extraordinariamente grandes.
Exchanges centralizados fueron los más afectados
La distribución de las pérdidas también muestra un cambio interesante respecto a la imagen tradicional de los hackeos en DeFi.
Según el desglose de CertiK, los exchanges centralizados concentraron aproximadamente 387,5 millones de USD, mientras los incidentes relacionados con redes principales o infraestructuras blockchain representaron alrededor de 325,1 millones de USD.
DeFi, en comparación, registró aproximadamente 13,3 millones de USD dentro de las categorías publicadas.
Además, los ataques relacionados con servicios de terceros representaron 387,5 millones de USD, mientras problemas vinculados con validación de firmas concentraron aproximadamente 324,7 millones de USD.
En cambio, vulnerabilidades clásicas de contratos inteligentes como los ataques de reentrada representaron apenas unos 2,25 millones de USD.
Cerca de 271 millones de USD fueron recuperados o congelados
CertiK calcula que aproximadamente 270,6 millones de USD de los fondos afectados durante septiembre fueron posteriormente recuperados o congelados.
Descontando esa cantidad, quedarían alrededor de 495,8 millones de USD en pérdidas netas todavía no recuperadas según ese cálculo.
Por ello, la cifra de 766,4 millones de USD debe entenderse como el valor bruto involucrado en los incidentes registrados durante el mes y no necesariamente como dinero perdido definitivamente.
Aun con esa diferencia, septiembre representa un fuerte deterioro frente a agosto y evidencia que las principales amenazas para el sector no proceden únicamente de errores en contratos inteligentes. Los ataques contra infraestructura de exchanges, sistemas de autorización, billeteras y servicios externos utilizados por las plataformas continúan siendo capaces de generar pérdidas de cientos de millones de USD.
Descargo de responsabilidad: Toda la información encontrada en Bitfinanzas es dada con la mejor intención, esta no representa ninguna recomendación de inversión y es solo para fines informativos. Recuerda hacer siempre tu propia investigación.
