¿Todavía te animás a jugar con DeFi? Este ambiente se siente demasiado familiar...

El mercado cripto atraviesa otra noche de insomnio bajo una ola de frío. Bitcoin ha caído casi un 12% en una semana, Ethereum retrocedió a cerca de 3.300 dólares, y los activos de riesgo están bajo presión colectiva.

En este contexto de mercado deprimido, las finanzas descentralizadas (DeFi) vuelven a estar en el ojo de la tormenta: el veterano protocolo Balancer v2 sufrió el mayor hackeo de su historia, con pérdidas superiores a 120 millones de dólares; poco después, la plataforma de optimización de rendimientos Stream Finance reveló una pérdida de 93 millones de dólares, y su stablecoin colateralizada xUSD cayó por debajo de los 0,3 dólares.

La tormenta no terminó ahí. El riesgo generado por Stream se está propagando a más protocolos a través de la “composabilidad”.
En la última reacción en cadena, la empresa de gestión de riesgos DeFi Gauntlet presentó una propuesta de emergencia en el foro de gobernanza de Compound, sugiriendo la suspensión temporal de los mercados de USDC, USDS y USDT en la red principal de Ethereum para evitar la expansión del riesgo.

Los hackeos ocurrieron en medio de la debilidad del mercado, poniendo a prueba la realidad de las “finanzas sin intermediarios”:

Cuando los precios bajan y los eventos de riesgo se acumulan, ¿te animás a seguir “jugando” en DeFi?

El hackeo que comenzó con Balancer

El lunes, se reveló una vulnerabilidad crítica en Balancer v2. Los atacantes explotaron un defecto lógico en los Composable Stable Pools, llevándose 128 millones de dólares en cuestión de horas a través de múltiples cadenas como Ethereum, Arbitrum y Base.

Investigadores señalaron que los atacantes posiblemente falsificaron “ingresos por comisiones” y activaron retiros, convirtiendo “puntos falsos” en “dinero real”. Lo irónico es que este módulo del sistema había sido auditado más de diez veces por firmas como OpenZeppelin y Trail of Bits. Ni la reputación ni los años de experiencia técnica evitaron este ataque lógico.

El responsable de estrategia de Flashbots y Lido, Hasu, comentó: “Cada vez que un contrato antiguo es vulnerado, la adopción general de DeFi retrocede entre 6 y 12 meses.”

Menos de 24 horas después, Stream Finance reveló que su “gestor de fondos externo” provocó una pérdida de 93 millones de dólares. La plataforma suspendió depósitos y retiros, y la stablecoin xUSD perdió su paridad, cayendo de 1 dólar a 0,27 dólares.

Datos on-chain muestran que las exposiciones colaterales relacionadas con xUSD, xBTC y xETH suman aproximadamente 285 millones de dólares, involucrando a protocolos de préstamos como Euler, Silo y Morpho. El TVL de varios mercados se evaporó en cientos de millones en un solo día.

Tu dinero no es tuyo: el efecto bumerán de la “composabilidad”

En pocas palabras, la “composabilidad” de DeFi —su mayor atractivo— es como un set de Lego financiero: podés poner el pool de rendimientos del protocolo A sobre el préstamo del protocolo B, usando la stablecoin del protocolo C como colateral, y así sucesivamente.

En el bull market, esta estrategia es genial. Los rendimientos se encadenan y la eficiencia es impresionante. Pero muchos no se dan cuenta de que, cuanto más alto se apilan los bloques, peor es la caída.

Si el mercado se enfría o una pieza base del “Lego” falla —como Balancer o Stream, protocolos centrales— el riesgo se propaga en cadena, como fichas de dominó.

Johnny Time, fundador de la empresa de seguridad Ginger Security, explicó en detalle este mecanismo de transmisión.

Mucha gente compró lo que creía ser la “bóveda USDC más segura” en Beefy Finance, pensando que su dinero estaba seguro. Pero en realidad, los fondos nunca se quedaron en Beefy, sino que pasaron por varias manos, siguiendo este camino:

Beefy → Silo → Arbitrum → otra entidad llamada Valarmore → finalmente terminaron en Stream Finance, que fue la que explotó.

Creías que tenías USDC, pero en realidad estabas expuesto a xUSD, que colapsó.

En esta cadena, la plataforma Beefy mostraba a los usuarios una “bóveda USDC segura”, pero los fondos eran reasignados por el gestor Valarmore a la estrategia xUSD del protocolo Stream.

Johnny Time señala que el problema es que cada capa busca maximizar el rendimiento, pero carece de mecanismos de divulgación de información y aislamiento de riesgos.
Esta estructura “anidada” permite que el riesgo se transmita de forma invisible: cambios en las decisiones de protocolos aguas arriba, volatilidad de los activos subyacentes o errores en estrategias intermedias amplifican el riesgo.
Al final, cuando el activo base (como xUSD) falla, toda la estructura colapsa como un dominó.

El debate sobre la descentralización

Por eso, la discusión sobre la descentralización volvió a encenderse en la comunidad.

Haseeb Qureshi, socio de Dragonfly, opinó: “Incluso en sistemas descentralizados, si suficientes participantes llegan a un consenso, pueden congelar cuentas o fondos.”
Pero los críticos respondieron rápidamente: “Si suficientes personas pueden acordar hacer algo, pueden hacer cualquier cosa —eso no es descentralización.”

Este debate revela la paradoja de la gobernanza en DeFi: cuando el sistema necesita intervención humana para detener una crisis, los límites de la “descentralización” se vuelven difusos.

Vladislav Ginzburg, fundador de OneSource, considera que el riesgo es inherente al ecosistema DeFi: “La complejidad de los smart contracts y la ingeniería financiera implica que los usuarios deben aceptar la incertidumbre.”
El investigador de seguridad Suhail Kakar es tajante: “Que algo esté ‘auditado’ casi no significa nada. El código es difícil, DeFi es aún más difícil.”
El CTO de Komodo, Kadan Stadelmann, agrega que los incidentes de seguridad frecuentes harán que los fondos institucionales eviten estructuras complejas y vuelvan a la estrategia “solo Bitcoin”.

Nicolai Søndergaard, investigador de Nansen, señala que la vulnerabilidad explotada en Balancer se debió a la lógica de facturación y no al control de permisos —este tipo de riesgos de diseño son difíciles de detectar en auditorías y la gobernanza no puede responder a tiempo.

Resumen

El problema de DeFi nunca fue la tecnología, sino la gobernanza.
En el bull market, los protocolos apilados y los altos rendimientos seducen; el bear market revela la verdad: ninguna capa es completamente segura.

En el futuro, los proyectos que sobrevivan no ganarán por su rendimiento anual, sino por demostrar tres cosas:
Fondos verificables, riesgos aislables y gobernanza ejecutable.

Para el usuario común, la experiencia también cambia: si ni siquiera sabés adónde va tu plata, es mejor comprar BTC y dormir tranquilo.

En definitiva, en el mundo DeFi: el riesgo que entendés es una oportunidad, el rendimiento que no entendés es una trampa.

Autor: Seed.eth