Puntos clave de la noticia:
- PeckShield estimó alrededor de $76M perdidos en diciembre, más de 60% menos que los $194.27M de noviembre, pero los atacantes siguieron repitiendo manuales simples.
- El address poisoning provocó un envío erróneo de ~$50M y claves de multifirma comprometidas sumaron más de $27M, pese a que se rastrearon 26 exploits mayores.
- El problema de extensión de Trust Wallet costó cerca de $7M y una brecha en el ecosistema Flow casi $4M, reforzando que las wallets always-online exigen verificación de direcciones y control de permisos.
Diciembre dejó un freno visible en el crimen cripto, pero el manual operativo casi no cambió. Datos de PeckShield muestran que se extrajeron alrededor de $76 millones durante el mes, una caída de más de 60% frente a los $194.27 millones de noviembre. Aun así, la amenaza se movió de fallas de protocolos a pérdidas impulsadas por el usuario, con estafas y exposición de claves marcando el ritmo. El número menor no elimina la realidad de siempre: las personas siguen siendo explotadas más que el código, y métodos básicos y repetibles siguen funcionando a escala para los atacantes. En síntesis, el threat model luce igual, solo que el surface area se amplía.
#PeckShieldAlert December 2025 witnessed ~26 major crypto exploits, resulting in total losses of ~$76M.
This figure represents a decrease of over 60% from November's total of $194.27M, marking a significant reduction in monthly losses.
Notably:
🔺Wallet 0xcB80…819 lost $50M… pic.twitter.com/CNW3R6646j— PeckShieldAlert (@PeckShieldAlert) January 1, 2026
Estafas y errores del usuario toman la delantera
El golpe más grande vino de address poisoning, no de un exploit complejo. Una víctima envió fondos a una dirección “lookalike” que imitaba los primeros y últimos caracteres del destino legítimo, un error valuado en cerca de $50 millones. Otro incidente relevante involucró claves privadas comprometidas vinculadas a una wallet multifirma, con pérdidas por encima de $27 millones. Un puñado de casos concentró la mayor parte del daño de diciembre, aunque PeckShield registró alrededor de 26 exploits mayores y más de dos docenas de incidentes durante el mes. El engaño y las filtraciones de claves, no la ruptura de código, movieron la aguja.
Menos pérdidas no necesariamente significa más seguridad. La caída refleja menos eventos extremos, no mejores prácticas, y muchos incidentes seguían siendo evitables en el uso diario. Entre los ejemplos más destacados figura un exploit en una extensión de navegador que afectó a Trust Wallet, con pérdidas de alrededor de $7 millones, según el mismo dataset. En paralelo, una brecha dentro del ecosistema de Flow drenó cerca de $4 millones. Las wallets “always-online” siguen siendo objetivos atractivos, especialmente cuando extensiones, dependencias o permisos del usuario pueden abusarse y monitorearse de forma continua por atacantes que buscan vectores repetibles.
La mezcla de diciembre refuerza una conclusión conocida: el eslabón más débil es el proceso humano. La mayoría de las pérdidas no requirió genialidad tipo “zero-day”; surgieron de transacciones apresuradas, direcciones reutilizadas, permisos no revisados y claves expuestas. El address poisoning no necesita innovación, solo hábito: copiar desde el historial o confiar en la familiaridad visual en vez de verificar. La higiene básica de seguridad sigue siendo la mejor defensa, porque una multifirma no ayuda si las claves se filtran, y una confirmación descuidada puede borrar ocho cifras en segundos. Chequeos aburridos, repetidos siempre, valen más que “heroic recoveries” y reducen el riesgo real.
