El 20 de abril de 2026, Vercel — una de las mayores plataformas de hospedaje y deploy de aplicaciones web modernas, e infraestructura preferida de una porción desproporcionada del ecosistema Web3 — confirmó públicamente lo que desarrolladores cripto estaban temiendo en las 48 horas anteriores: sufrió una violación de seguridad. Equipos de Solana, exchanges DeFi, dashboards de carteras y protocolos que ejecutan interfaces en la plataforma entraron en modo pánico controlado, rotando API keys, revisando código y auditando logs en busca de exposición.
El detalle más incómodo de la historia no está en el hack en sí. Está en cómo sucedió. Quienes comprometieron Vercel no atacaron a Vercel. Atacaron a Context.ai, una empresa tercera de herramientas de IA. Y comenzó con un único infostealer llamado Lumma Stealer infectando la laptop personal de un empleado de Context.ai en febrero de 2026. De la contaminación inicial hasta la pérdida de credenciales Web3, hay dos meses y tres capas de proveedores entre el atacante y la víctima final.
Es la versión más limpia, y más didáctica, de un patrón que viene dominando el año: quien ataca el protocolo es amateur. Quien ataca las herramientas debajo del protocolo es profesional.
La línea de tiempo: dos meses entre Lumma Stealer y el pánico en Web3
El caso, según los análisis técnicos publicados por Trend Micro y Ox Security, es didáctico de lo organizado que es:
- Febrero de 2026 — Empleado de Context.ai tiene máquina personal infectada con Lumma Stealer, un infostealer comoditizado que circula en foros de cibercrimen por algunos cientos de dólares. El malware extrae credenciales guardadas en el navegador, cookies de sesión y tokens OAuth.
- Febrero a abril — Los atacantes usan los tokens OAuth de Google Workspace de Context.ai para acceder a la infraestructura interna de la empresa. Context.ai ofrece herramienta de IA integrada con Vercel y mantiene OAuth bidireccional con Google y con Vercel.
- Abril de 2026 — Pivotando lateralmente, los atacantes usan la relación OAuth Vercel ↔ Context.ai para ganar foothold en sistemas internos de Vercel. Logran visibilidad sobre variables de entorno de clientes — entre ellas, API keys, RPC endpoints, bot tokens, conexiones a servicios de banco y blockchain.
- 20 de abril de 2026 — Vercel publica boletín oficial de incidente. En paralelo, un post en BreachForums coloca a la venta datos supuestamente exfiltrados por USD$ 2 millones — incluyendo "access keys y source code". La reivindicación no fue verificada independientemente.
El punto crítico del postmortem de Vercel es matizado. La empresa afirma que variables de entorno marcadas como "sensitive" — modelo de almacenamiento que encripta el contenido e impide lectura en el panel — no fueron accedidas. Lo que quedó expuesto fueron variables en formato estándar: configuraciones que el desarrollador promedio coloca en .env sin preocuparse en marcar como sensible, pero que rutinariamente incluyen credenciales de producción.
Por qué Web3 entró en pánico antes que cualquier otra industria
La reacción de los equipos cripto fue más rápida y más visible que la de SaaS tradicional, y tiene tres motivos estructurales:
- Concentración desproporcionada en Vercel. Por el perfil de stack moderna (Next.js, React, frontends rápidos), una porción muy alta de frontends Web3 se ejecuta en Vercel. Dashboards de wallet, interfaces de DEX, paneles de protocolo, pantallas de staking — casi todo en Web3 que se vea como "aplicación web bonita" probablemente está en Vercel.
- Las API keys cripto tienen blast radius inmediato. A diferencia de una clave de Stripe o Twilio que, en el peor caso, genera fraude limitado al servicio, una clave de RPC node, una seed de bot trader, o un token de admin de protocolo pueden convertirse en drenaje de cartera en segundos. El atacante que obtiene una clave Web3 no necesita "usarla" — solo necesita ejecutarla.
- El ataque a frontend es vector ya comprobado en 2026. Solo seis días antes, CoW Swap había perdido USD$ 1,2 millones en ataque de DNS hijacking. En febrero de 2025, Bybit perdió USD$ 1,5 mil millones vía inyección de JavaScript malicioso en Safe{Wallet}. La memoria reciente del mercado es que la infraestructura alrededor del smart contract es el punto débil.
Entre los primeros nombres en manifestarse públicamente estuvo Orca, exchange DeFi basado en Solana, que confirmó rotación de credenciales y aclaró que "el protocolo on-chain y los fondos de los usuarios no fueron afectados". Otros equipos — no nombrados, por razones de seguridad operacional — pasaron la noche del 20 al 21 de abril rotando claves y auditando logs de uso.
El patrón supply chain de 2026: Bybit, Drift, Vercel
El hack de Vercel es el tercer gran episodio de este trimestre que sigue exactamente la misma fórmula:
- Bybit (febrero de 2025) — los atacantes comprometen máquina de un desarrollador de Safe{Wallet}, inyectan JavaScript malicioso en la interfaz, esperan a que pase una transacción grande y drenan USD$ 1,5 mil millones. Atribuido al Lazarus Group.
- Drift Protocol (abril de 2026) — operación de seis meses de ingeniería social profunda contra desarrollador sénior, culmina en USD$ 285 millones drenados. Atribuido a la unidad Famous Chollima del Lazarus, conforme cubrimos en Drift Confirma: Hack Fue Operación de Inteligencia de Corea del Norte de 6 Meses.
- Vercel (abril de 2026) — los atacantes comprometen tercera capa (Context.ai), pivotan vía OAuth, ganan acceso a infraestructura crítica de toda la base de clientes Web3 de Vercel.
En los tres casos, el smart contract no fue tocado. Las reglas matemáticas del protocolo continuaron funcionando perfectamente. Lo que fue comprometido fue el humano operando el engranaje alrededor del protocolo — el desarrollador con permisos, la empresa tercera que tiene OAuth activo, el registrador de dominio que acepta documentos falsificados.
Este patrón es, en nuestra lectura, el giro estructural del escenario de amenazas cripto en 2026. Y está siendo subestimado por la mayor parte del mercado.
Por qué OAuth es el talón de Aquiles invisible
El detalle técnico más poco explicado por la mayor parte de la cobertura es cómo, exactamente, OAuth funciona como puente de ataque entre sistemas distintos. Vale el esfuerzo de entender, porque la categoría del problema va más allá de Vercel.
OAuth es el protocolo que permite a una aplicación (digamos, Context.ai) acceder a datos de otra aplicación (digamos, Google Workspace o Vercel) en nombre del usuario, sin almacenar la contraseña. Haces clic en "autorizar Context.ai a acceder a mi cuenta Vercel", y el token generado queda guardado. A partir de ahí, Context.ai puede operar con tus datos sin pedir contraseña de nuevo.
El problema: estos tokens frecuentemente no expiran en plazo corto. Y cuando eres comprometido por un infostealer, el atacante no roba tu contraseña — roba los tokens OAuth activos. Con ellos en mano, el atacante:
- No dispara MFA, porque el token ya está autenticado.
- No genera login alert, porque técnicamente "tú" continúas usando el servicio.
- Puede pivotar a cualquier servicio donde la aplicación comprometida tiene permiso.
Es el ataque perfecto para infraestructura moderna — silencioso, sin ruido, con duración proporcional al TTL del token. En algunas configuraciones enterprise, estos tokens duran días o semanas antes de exigir renovación. En otras, la renovación es automática mientras el usuario no revoque manualmente.
La lección operacional para cualquier empresa cripto, fintech o tecnológica que opera con OAuth multi-proveedor: auditar mensualmente qué aplicaciones tienen tokens OAuth activos contra qué sistemas críticos, y revocar agresivamente lo que no sea esencial. Es tedioso. Es exactamente el tipo de tarea que nadie quiere hacer. Y es exactamente dónde el atacante vive.
Qué hicieron devs cripto en las últimas 72 horas (y qué aún no hicieron)
La checklist que circuló en canales privados de devs Web3 desde 20 de abril:
- Rotar todas las claves de RPC node (Alchemy, Infura, Quicknode, Ankr).
- Rotar tokens de bot trader y de monitoreo (Etherscan API, blockchain explorers, oráculos privados).
- Auditar logs de uso de cada clave en las últimas 8 semanas, en busca de llamadas anómalas — IPs inusuales, patrones de query atípicos, picos de tráfico.
- Revisar variables de entorno en Vercel y marcar manualmente como "sensitive" todo lo que tenga valor de producción.
- Revocar tokens OAuth activos en herramientas terceras de IA, dashboards, monitoreo — comenzando por los integradores menos críticos.
- Auditar dependencias del
package.jsonen busca de SDKs que tengan relación OAuth con Vercel.
Lo que no fue hecho por buena parte del mercado, y debería serlo: migrar secretos críticos de variables de entorno de Vercel a un secrets manager dedicado, como AWS Secrets Manager o HashiCorp Vault, con rotación automática cada 30 días. Variable de entorno en panel de hospedaje es, conceptualmente, "contraseña en archivo de texto que confías que nadie va a leer". En ambiente cripto de 2026, este modelo de confianza ya no pasa la prueba de olor.
El riesgo brasileño específico
Para el ecosistema cripto y fintech brasileño, el caso Vercel tiene implicaciones operacionales y regulatorias directas.
Operacionalmente, la mayoría de los exchanges nacionales y fintechs de pago que ofrecen productos cripto ejecutan frontends en Vercel o en proveedores similares (Netlify, Cloudflare Pages). Buena parte de los equipos no tiene hoy proceso formal de inventario de OAuth activo — una fragilidad que, con la entrada en vigor de las obligaciones cambiarias cripto el 4 de mayo, se convierte en problema regulatorio también.
Regulatoriamente, la LGPD brasileña tiene reglas claras de notificación de incidentes que afectan datos personales. Si una empresa BR tuvo API keys expuestas en el incidente Vercel y estas claves controlaban acceso a datos de clientes, hay gatillo de obligación de comunicación a la ANPD. La mayoría de las empresas va a tratar esto como "incidente de proveedor" y empujar la culpa a Vercel/Context.ai. Pero el controlador de los datos es la empresa BR — no el proveedor.
Combinando el escenario con el Abril Negro del Brasil Digital y el ecosistema doméstico de amenazas con el troyano GoPix aún activo, el usuario brasileño de cripto opera, en 2026, bajo capa dupla de riesgo: el ataque global Web3 y el ataque local financiero.
La perspectiva ON3X
Tres lecturas para cerrar.
Uno: el problema de Web3 en 2026 no es el smart contract. Es la tooling. Auditoría de código Solidity es tema maduro, con mercado consolidado de empresas como CertiK y OpenZeppelin. Auditoría de supply chain es tema que apenas salió del nacimiento — no hay estándar, no hay certificación, no hay benchmark. Y es exactamente dónde se están perdiendo los miles de millones.
Dos: Lumma Stealer cuesta USD$ 200. El daño causado costó miles de millones. El ROI del atacante moderno es absurdo, porque el vector inicial — un infostealer comoditizado en una laptop personal — es trivial. Lo que diferencia atacante amateur de profesional no es el ferramental. Es la paciencia para pivotar lateralmente en tres capas de proveedores sin ser detectado por dos meses.
Tres: Vercel sale de esto fortalecida o debilitada, dependiendo de cómo reaccione en los próximos 30 días. Respuesta estándar de proveedor — boletín, mea culpa, promesa de mejora — no es suficiente. Lo que separa a Vercel de convertirse en el próximo cautionary tale de Web3 es si va a invertir en controles OAuth granulares por defecto (no opt-in), en secrets manager nativo (no recomendación en los docs), y en auditoría continua de relaciones terceirizadas. El costo es alto. La alternativa, si un segundo incidente viene en los próximos 12 meses, es perder el ecosistema cripto completo hacia Cloudflare Workers o auto-hospedaje en VPS.
Lo que vale seguir en las próximas semanas: la publicación completa del postmortem técnico de Vercel (prometido para este mes), los informes individuales de equipos Web3 sobre qué credenciales específicamente fueron comprometidas, y cualquier transacción on-chain que pueda correlacionarse con uso indebido de claves filtradas. En cualquiera de los tres puntos, el tamaño real del incidente — hoy contabilizado como "preocupación" — puede crecer materialmente.