Agosto fijó el récord del año en hackeos cripto. Lo que realmente pone en riesgo a los usuarios de tarjetas
Agosto de 2026 tuvo la mayor cantidad de hackeos cripto de cualquier mes de este año -- 50 incidentes --, pero las pérdidas totales cayeron 49,5% hasta unos 136,3 millones de dólares, y el balance está dominado por exploits de protocolos y plataformas, no de billeteras individuales. El recuento proviene de la firma de seguridad blockchain PeckShield, según informaron BeInCrypto vía Yahoo Finance y crypto.news. Un solo exploit a un protocolo de préstamos representó más de la mitad del mes.
La diferencia entre el dinero robado a protocolos y el robado a personas es lo más útil que se puede entender sobre la seguridad cripto, y los titulares suelen pasarla por alto. Esta guía cubre las cifras de agosto, dónde pierden dinero realmente los poseedores minoristas según el FBI, los hábitos que cierran la mayor parte de esas vías y qué cambia cuando gastas con una tarjeta prepago.
PeckShield contó 50 incidentes importantes en agosto, un 67% más que los 30 de julio, mientras que las pérdidas estimadas bajaron de unos 270 millones de dólares a 136,3 millones, según crypto.news; la pérdida promedio por incidente cayó a unos 2,7 millones de dólares desde unos 9 millones, según BeInCrypto.
Un evento dominó. El 30 de agosto, un atacante infló el token TONIC, de poca liquidez, unas 100 veces en unos 20 minutos, lo depositó en Tectonic, el mayor protocolo de préstamos de la cadena Cronos, y pidió prestados activos reales con él como garantía, según CoinDesk. PeckShield situó la cifra en unos 74 millones de dólares; CoinDesk informó una estimación cercana a los 75 millones. Los validadores de Cronos detuvieron toda la cadena, solo unos 6 millones de dólares llegaron a Ethereum antes de que se detuvieran los bloques, y la red se reinició más tarde desde un estado anterior al ataque, según BleepingComputer. Los siguientes incidentes más grandes de la lista de PeckShield fueron, cada uno, inferiores a 10 millones de dólares.
Los incidentes en lo alto del recuento son protocolos y plataformas. Si no tenías fondos depositados en Tectonic, el exploit de Tectonic no te afectó.
TRM Labs registró unos 972 millones de dólares robados en 207 incidentes en el primer semestre de 2026, menos de la mitad de los 2.300 millones de dólares sustraídos en el primer semestre de 2025, según TRM Labs. Cerca del 66% se atribuyó a grupos vinculados a Corea del Norte, y los compromisos de infraestructura -- claves robadas, sistemas secuestrados -- representaron aproximadamente el 76% de los fondos perdidos, aunque solo cerca del 15% de los incidentes.
Como contexto, Chainalysis contabilizó más de 3.400 millones de dólares robados en 2025, y solo el hackeo del exchange Bybit en febrero de 2025 sumó unos 1.500 millones, según Chainalysis. El mismo informe sitúa los compromisos de billeteras personales en unos 713 millones de dólares, el 20% del valor robado del año, repartidos en unos 158.000 incidentes estimados y al menos 80.000 víctimas.
Los hackeos llegan a los titulares; el fraude se lleva el dinero. Son dos problemas distintos: uno es raro y enorme por evento, el otro es constante y casi siempre consiste en engañar a una persona. El Internet Crime Complaint Center (IC3) del FBI registró 181.565 denuncias relacionadas con criptomonedas en 2025, con pérdidas por 11.366 millones de dólares -- más de la mitad de los 20.877 millones de dólares de todas las pérdidas por cibercrimen reportadas ese año --, según el Informe Anual IC3 2025.
El fraude de inversión es la mayor categoría, con 8.650 millones de dólares, y el informe señala el fraude de inversión en criptomonedas -- las estafas de largo recorrido operadas desde complejos de estafa del sudeste asiático -- como la mayor fuente individual de pérdidas financieras para los estadounidenses, con 7.200 millones de dólares. Los estadounidenses de 60 años o más reportaron 4.430 millones de dólares del total cripto; las denuncias por SIM swap, en comparación, sumaron 971 con pérdidas por 17,4 millones de dólares.
El phishing con wallet drainers, en cambio, se llevó 83,85 millones de dólares en todo el mundo en 2025, según Scam Sniffer. La forma dominante en que un poseedor minorista pierde sus criptomonedas es enviándolas a alguien que le mintió.
| Amenaza | Cómo funciona | El hábito que la derrota |
|---|---|---|
| Estafa de inversión o romántica | Un contacto de redes sociales o de una app de citas te guía hacia una "plataforma" que muestra ganancias falsas y luego bloquea los retiros | Nunca envíes cripto a nadie que prometa rendimientos. La FTC: solo los estafadores garantizan ganancias |
| Phishing de frase semilla | Un sitio falso de billetera o un "agente de soporte" te pide tu frase de recuperación | Nunca escribas una frase semilla en un sitio web ni la compartas con nadie |
| Wallet drainer / aprobación maliciosa | Un sitio te pide firmar un approve o Permit que le permite mover tus tokens | Lee lo que firmas; revisa y revoca aprobaciones antiguas con Revoke.cash |
| Envenenamiento de direcciones | Llega polvo desde una dirección que coincide con los primeros y últimos caracteres de una que usas, con la esperanza de que la copies del historial | Verifica la dirección completa, no solo los primeros y últimos cuatro caracteres; usa una libreta de direcciones |
| SIM swap | Tu operador mueve tu número a la SIM de un atacante, que entonces recibe tus códigos por SMS | App de autenticación o llave de hardware para la autenticación de dos factores, nunca SMS |
| Soporte falso | Un "agente de soporte" te escribe por mensaje directo después de que publicaste sobre un problema | El soporte real nunca escribe primero. Entra tú mismo al sitio oficial |
| Hackeo de exchange o protocolo | Una plataforma donde depositaste fondos resulta comprometida | Mantén solo dinero para gastar en billeteras calientes y exchanges |
La fila del envenenamiento no es hipotética: en diciembre de 2025 un trader perdió 49.999.950 USDT en una dirección que compartía los primeros cinco y los últimos cuatro caracteres con la del destinatario previsto, copiada del historial de transacciones, según The Block.
- Separa lo frío de lo caliente. Las tenencias a largo plazo van en una billetera de hardware cuya semilla nunca haya tocado un dispositivo conectado a internet; el dinero para gastar va en una billetera caliente aparte o en una tarjeta.
- Trata la frase semilla como material radiactivo. Ningún sitio web, formulario, captura de pantalla, nota en la nube ni chat de soporte debe verla jamás.
- Rechaza toda propuesta de inversión que llegue por mensaje. Las cifras del FBI dicen que este único hábito evita la mayor categoría de pérdidas del ecosistema.
- Audita y revoca aprobaciones. Las aprobaciones antiguas siguen activas hasta que se revocan. Revísalas cada trimestre y después de cualquier sesión en un sitio en el que no confíes del todo.
- Verifica la dirección completa. Léela de principio a fin, o envía una prueba pequeña y copia la dirección de la transacción de prueba confirmada, no del historial.
- Saca la autenticación de dos factores del SMS. Una app de autenticación o una llave de hardware no puede ser objeto de un SIM swap.
- Contraseñas únicas, passkeys donde se ofrezcan. El consejo de Visa para tarjetas es el mismo: credenciales únicas por sitio más autenticación multifactor, según Visa.
- Ignora el "soporte" que te contacta y revisa el dominio, no el diseño. Los sitios de phishing copian los diseños píxel por píxel; la barra de direcciones es lo único que no pueden copiar.
- Mantén en los exchanges solo dinero para gastar. Los exchanges son el objetivo más grande; el almacenamiento en frío es mucho más difícil de alcanzar.
Una vez que la cripto se convierte en saldo de tarjeta, defiendes un número de tarjeta y un acceso a una app en lugar de claves privadas.
- Carga lo que planeas gastar. Lo que hay en la tarjeta es lo que queda expuesto si el número se ve comprometido.
- Usa un número de tarjeta virtual en línea, separado de cualquier otra tarjeta que tengas.
- Congélala cuando no la uses. Una tarjeta congelada rechaza nuevas compras; descongélala cuando vayas a pagar.
- Vigila los microcargos. Las pruebas de tarjetas suelen empezar con un cargo pequeño de un comercio desconocido para confirmar que el número funciona; reporta de inmediato a tu emisor los cargos sospechosos, según Visa.
- Activa las notificaciones de transacciones. Visa describe las alertas de transacciones casi en tiempo real como una forma de detectar posibles fraudes en cuanto ocurren, según Visa Purchase Alerts.
- Conoce la vía de disputa antes de necesitarla. Ambas redes de tarjetas publican políticas de transacciones no autorizadas, y ambas excluyen ciertas categorías de tarjeta, así que lo que te aplica depende de tu emisor y de tu tarjeta. Lee los términos de tu tarjeta antes de necesitarlos y reporta primero al emisor cualquier actividad no autorizada.
Ese es el contraste honesto con los pagos on-chain: como señala la FTC, los pagos con criptomonedas normalmente no son reversibles y no cuentan con las protecciones legales que tienen las tarjetas de crédito y débito.
Desde el lado del producto, sin exagerar: una tarjeta cripto prepago es un límite útil para la "billetera de gasto" descrita arriba. Con SolCard, fondeas la tarjeta enviando SOL, USDC o USDT por Solana, o USDC o USDT por Ethereum, BSC, Arbitrum, Base, Polygon o Avalanche, y una vez cargado, el saldo se mantiene en fiat.
De ahí se derivan dos consecuencias de seguridad. El saldo no está on-chain, así que un exploit de protocolo, un hackeo de un puente o una aprobación maliciosa no lo alcanzan -- no hay ningún token que drenar. En cambio, sí queda en manos del programa de la tarjeta, que es un tipo distinto de contraparte. Y el saldo cargado es lo que queda expuesto: fondea el gasto de la semana y el resto permanece en una billetera que controlas.
Por el lado de la tarjeta, se aplican los hábitos habituales: la tarjeta virtual es una Mastercard con su propio número para uso en línea, la tarjeta se puede congelar al instante desde la app, y el límite de carga mensual de 5.000 dólares de la tarjeta virtual mantiene los saldos en el rango de dinero para gastar. Nada de esto te protege de que te convenzan de enviar cripto a un estafador, la mayor amenaza en los datos del FBI, y no afirmaremos lo contrario. Sí traza una línea firme entre el dinero que gastas y el dinero que guardas. Nuestra guía de cómo pagar con cripto cubre la carga y el pago; ¿es legítima SolCard? cubre la empresa.
No. Agosto tuvo el mayor número de incidentes de 2026, con 50, pero las pérdidas de unos 136,3 millones de dólares bajaron 49,5% respecto a julio, según crypto.news. Solo el hackeo de Bybit, en febrero de 2025, fue de unos 1.500 millones de dólares, según Chainalysis.
Solo si tus fondos estaban depositados en el protocolo vulnerado. Los exploits de DeFi (finanzas descentralizadas) como el de Tectonic drenan los pools propios del protocolo; los tokens en una billetera de autocustodia que nunca interactuó con él no se ven afectados. De todos modos, revoca cualquier aprobación que le hayas concedido alguna vez.
Que te convenzan de enviarla. El informe IC3 2025 del FBI señala el fraude de inversión en criptomonedas como la mayor fuente de pérdidas financieras para los estadounidenses, con 7.200 millones de dólares, frente a 17,4 millones de dólares en pérdidas reportadas por SIM swap, según el Informe Anual IC3 2025.
Usa un panel de aprobaciones como Revoke.cash, que lista todas las aprobaciones que ha concedido tu dirección y te permite revocar las que ya no necesitas. Revisa cada cadena que hayas usado.
Agosto de 2026 fue un mes récord en el número de hackeos cripto, no en su tamaño, y las pérdidas recayeron abrumadoramente sobre protocolos, no sobre personas. Donde más pierden los poseedores minoristas, por un orden de magnitud, es en el fraude, y el fraude se derrota con hábitos: mantén las tenencias a largo plazo en frío, nunca escribas una frase semilla en ningún sitio, rechaza toda propuesta que llegue por mensaje, verifica las direcciones completas y saca la autenticación de dos factores del SMS. Después, trata la tarjeta como un saldo de gasto en fiat, protegido por los hábitos habituales de las tarjetas. Nuestra comparativa de mejores tarjetas de débito cripto expone las opciones, y nuestro resumen de pagos cripto en agosto de 2026 cubre el resto del mes.
- BeInCrypto via Yahoo Finance -- August Broke 2026's Monthly Hack Record Even as Losses Fell 49%
- crypto.news -- Crypto hacks rise 67% as August losses hit $136M
- CoinDesk -- Cronos halts blockchain after $75 million lending exploit hits lending app Tectonic
- BleepingComputer -- Cronos blockchain restarts after $74 million Tectonic exploit
- TRM Labs -- H1 2026 Crypto Hacks Reach Record High as Losses Fall Below USD 1 Billion
- Chainalysis -- 2025 Crypto Theft Reaches $3.4 Billion
- FBI IC3 -- 2025 Internet Crime Report (PDF)
- FTC -- What To Know About Cryptocurrency and Scams
- Scam Sniffer -- 2025: Crypto Phishing Losses Fall 83% to $84 Million
- The Block -- Crypto trader loses $50 million in address poisoning attack
- Revoke.cash -- Inspect and revoke token approvals
- Visa -- Security and fraud protection tips
- Visa -- Purchase Alerts
