El protocolo casi nunca es el problema

Por Kaspersky América Latina

Los números del primer semestre de 2026 se prestan a una lectura tranquilizadora y equivocada. Según el reporte Hack3d de CertiK, se robaron alrededor de 1.315 millones de dólares en 344 incidentes on-chain entre enero y junio: una caída cercana al 47% frente al mismo período de 2025. El problema con esa comparación es que casi toda la diferencia se explica por un solo evento del año anterior, el robo de 1.450 millones a Bybit. Descontado ese caso, 2025 cierra en torno a los 1.030 millones y 2026 queda aproximadamente un 28% arriba. La cantidad de incidentes, además, subió: 194 en el segundo trimestre contra 145 en el mismo trimestre del año previo.

Es decir: más ataques, más frecuentes, con mediana de pérdida más alta. El titular dice que mejoramos. Los datos dicen que el atacante se volvió más eficiente.

Lo relevante para quien opera infraestructura en la región no es el monto agregado sino dónde se rompió la cadena de custodia en cada caso. Y ahí el patrón de 2026 es bastante nítido.

El vector se movió a la periferia

Los dos incidentes más grandes del semestre —Kelp DAO y Drift Protocol, que juntos suman unos 577 millones, casi el 59% del total robado— no fueron fallas de consenso ni bugs exóticos en un contrato. Fueron operaciones dirigidas que comprometieron infraestructura, no lógica de contrato. En el caso de Kelp DAO, un ataque de cadena de suministro sobre el proveedor de RPC. En Drift, una brecha de wallet.

Ninguna de esas dos superficies vive dentro del protocolo. Viven en el CI/CD, en las dependencias de terceros, en la gestión de claves, en el endpoint del ingeniero que tenía acceso privilegiado. Son problemas de seguridad corporativa clásica ocurriendo en un entorno donde la transacción es irreversible y la ventana de respuesta se mide en minutos.

Vale la pena decirlo con claridad porque el sector todavía arrastra el marco mental heredado de la primera década: hablar de seguridad blockchain como si el debate central siguieran siendo los ataques del 51%. Para las cadenas principales ese vector es económicamente inviable hace años, y donde sigue vivo —cadenas PoW pequeñas, testnets con poder de hash alquilable— el impacto está acotado. El ataque Sybil conserva relevancia práctica en redes PoS jóvenes y en mecanismos de gobernanza con quórum bajo, más como problema de captura de decisiones que de doble gasto. Y el secuestro de rutas BGP contra nodos y pools sigue siendo un riesgo real y poco monitoreado, aunque su rendimiento por unidad de esfuerzo quedó muy por debajo del de comprometer directamente al operador.

El atacante racional dejó de pelearle a la criptografía. Le pelea al proceso.

Lo que estamos viendo desde el laboratorio

Nuestro Equipo Global de Investigación y Análisis (GReAT) viene documentando esta migración con nombre y apellido. BlueNoroff, la subdivisión del grupo Lazarus especializada en objetivos financieros, sostiene desde hace años la campaña SnatchCrypto contra la industria cripto a escala global. En el Security Analyst Summit presentamos dos operaciones nuevas de ese actor, GhostCall y GhostHire, activas desde al menos abril de 2025 contra organizaciones Web3 y de criptomonedas, con malware desarrollado a medida para macOS y Windows y una infraestructura de comando y control unificada.

El detalle que importa es a quién apuntan: desarrolladores blockchain y ejecutivos. No al usuario final, no al contrato. A la persona que tiene la llave o el commit.

GhostHire opera a través de procesos de contratación falsos. Es exactamente el escenario de riesgo que enfrenta cualquier exchange o fintech regional que incorpora desarrolladores remotos sin verificación de identidad robusta. Y la contracara, que también rastreamos en el Kaspersky Security Bulletin, es la distribución de paquetes Go maliciosos a través de repositorios públicos disfrazados de dependencias legítimas: el ecosistema open source convertido en vector de acceso inicial, con el ataque insertado directamente en el flujo de trabajo del desarrollador. El abuso a gran escala del ecosistema npm durante el mismo período confirma que los repositorios públicos ya son una plataforma estable de compromiso de cadena de suministro.

En paralelo, desde enero de 2026 identificamos OkoBot, un framework de malware dirigido a inversores en criptomonedas. Combina ingeniería social mediante ClickFix con repositorios falsos en GitHub, y una vez instalado extrae archivos de billeteras, credenciales y datos de navegación, inyecta extensiones maliciosas en el navegador y captura las ventanas de las aplicaciones de wallet. Evoluciona de TookPS, una campaña de 2025 que distribuía un troyano desde sitios falsos de descarga de software.

Nada de esto se detiene con una auditoría de contrato. Se detiene con control del endpoint, verificación de identidad, higiene de dependencias y detección de comportamiento.

La ingeniería social dejó de parecerse al phishing

Los incidentes de phishing bajaron en cantidad durante el semestre, pero cerca del 85% de las pérdidas asociadas provinieron de operaciones de ingeniería social sofisticada. No son correos masivos con dominios mal escritos. Son campañas construidas sobre reconocimiento previo, con pretextos verificables y contacto sostenido en el tiempo. GhostCall, por ejemplo, se apoya en reuniones falsas con apariencia legítima.

Nuestro pronóstico de amenazas financieras para 2026 apuntaba en esta dirección: deepfakes aplicados a campañas de ingeniería social, malware asistido por inteligencia artificial capaz de adaptar su comportamiento al entorno, e info stealers desarrollados con apoyo de IA. Ese componente ya aparece en las operaciones de BlueNoroff, que integraron elementos asistidos por IA tanto en el desarrollo del malware como en partes del flujo operativo.

Para una operación pequeña o mediana esto reordena prioridades. La verificación de identidad de proveedores y contratistas, la segregación de privilegios, el control de qué corre en el endpoint de quien firma transacciones y la trazabilidad de accesos pesan más, en términos de riesgo evitado, que buena parte del presupuesto que se destina a auditorías repetidas del mismo contrato.

Y ahora, además, es obligatorio

Hasta hace poco un operador centroamericano podía tratar todo esto como una decisión interna de apetito de riesgo. Eso terminó en 2026.

En Costa Rica, la Ley N.° 10961 —publicada en La Gaceta el 19 de junio de 2026— reforma la Ley 7786 e incorpora a los proveedores de servicios de activos virtuales al régimen de prevención de legitimación de capitales. Los VASP quedan obligados a inscribirse ante la SUGEF, identificar clientes, aplicar debida diligencia sobre los umbrales que fije el CONASSIF y adoptar medidas de congelamiento. Las multas van del 5% al 50% del monto de la transacción. Conviene subrayar un matiz que se malinterpreta seguido: la inscripción ante SUGEF es supervisión antilavado, no una licencia de operación. El efecto práctico va a depender del reglamento del CONASSIF. La motivación de fondo tampoco fue promover el ecosistema: fue cumplir la Recomendación 15 del GAFI y evitar la lista gris.

En Guatemala, el Decreto 15-2026 —Ley Integral para la Prevención y Represión del Lavado de Dinero u Otros Activos y del Financiamiento del Terrorismo, publicada el 17 de junio de 2026 y vigente tres meses después— hace algo equivalente y algo más amplio. Deroga los decretos 67-2001 y 58-2005, unifica el marco y suma como personas obligadas a los proveedores de servicios de activos virtuales: intercambio, custodia, transferencia, plataformas de negociación y emisión. Quedan bajo la órbita de la Intendencia de Verificación Especial, sean locales o no. Las multas llegan a unos 625.000 dólares. Detrás está la evaluación de GAFILAT prevista para 2027.

Dos jurisdicciones, la misma dinámica: sectores que operaban con escrutinio bajo pasan, en cuestión de meses, a tener obligaciones de debida diligencia, reporte de operaciones sospechosas, retención de registros y respuesta ante el supervisor.

El costo de cumplir no es el costo del formulario

Acá está el punto que la mayoría de los operadores regionales todavía no dimensionó. Inscribirse es trámite. Sostener el régimen es infraestructura.

Reportar operaciones sospechosas exige monitoreo transaccional continuo y capacidad de trazar fondos a través de bridges y swaps descentralizados. La debida diligencia exige verificación de identidad que resista fraude documental. La retención de registros exige integridad y disponibilidad de logs bajo estándares que un supervisor pueda auditar. La respuesta ante incidentes deja de ser una decisión comercial y pasa a ser una obligación con plazos. Y todo eso convive con la superficie de ataque descrita más arriba: endpoints, identidades, terceros, claves.

Desde Kaspersky, las capas que recomendamos priorizar en este tipo de operación son cuatro, y ninguna es opcional a partir de septiembre:

Gestión de identidad y acceso. Definir quién firma, con qué privilegio, desde qué dispositivo y con qué segunda verificación. Incluye política explícita de rotación y revocación de claves, y verificación de identidad en la incorporación de contratistas y proveedores.

Protección y detección en el endpoint. El dispositivo del desarrollador y del firmante es hoy el objetivo primario. Requiere detección de comportamiento, no solo de firmas conocidas, porque el malware que estamos viendo se adapta al entorno.

Inteligencia de amenazas aplicada. Saber qué actores apuntan a su sector y con qué técnicas concretas es lo que permite priorizar. Un equipo que sabe que GhostHire existe revisa sus procesos de contratación antes de que le pase.

Gobierno de riesgo documentado. Evaluaciones periódicas de vulnerabilidad, plan de continuidad y de respuesta a incidentes, y evidencia de todo eso en un formato que resista una revisión del supervisor.

Lo que falta en la región

El regulador acaba de convertir la seguridad operativa —que era una buena práctica— en un requisito de permanencia en el mercado. Y lo hizo con una fecha.

La brecha que esto abre es de oferta, no de demanda. En Costa Rica y Guatemala hay cientos de entidades que en los próximos meses van a necesitar exactamente el mismo paquete. Y ese paquete no se resuelve comprando una licencia: se implementa, se dimensiona al tamaño del cliente y se sostiene en el tiempo. Requiere presencia local, entendimiento del marco regulatorio de cada país y capacidad técnica real.

Kaspersky lleva casi tres décadas cubriendo ese tramo de la misma manera en toda América Latina: a través de socios locales con especialización vertical, que son quienes traducen la tecnología y la inteligencia de amenazas en una implementación que funciona en el contexto de cada mercado. Lo que cambió en Centroamérica no es que la necesidad exista —existía—, sino que ahora tiene fecha de vencimiento y sanción económica asociada.

Las capacidades que se construyan en los próximos doce meses van a atender un mercado que la regulación acaba de crear de golpe. Los que estén listos cuando entre en vigencia el reglamento no van a estar compitiendo por precio.