1. Hackeos de contratos inteligentes
Cuando depositas tokens en un protocolo DeFi, tus fondos son custodiados por un contrato inteligente (smart contract), un programa que se ejecuta en una blockchain. Si ese código tiene una vulnerabilidad, un atacante puede explotarla para drenar los fondos. Esto no es teórico. Sucede varias veces al año.
Exploits principales
| Exploit | Fecha | Cantidad perdida | Qué sucedió |
|---|---|---|---|
| Ronin Bridge | Marzo 2022 | $625 millones | Los atacantes comprometieron las llaves de los validadores de la sidechain Ronin (Axie Infinity). Los fondos fueron drenados en múltiples transacciones antes de que alguien lo notara. |
| Wormhole | Febrero 2022 | $325 millones | Un error en el puente Wormhole permitió a un atacante acuñar ETH envuelto (wETH) en Solana sin depositar ETH real. |
| Nomad Bridge | Agosto 2022 | $190 millones | Un error de configuración permitió que cualquiera pudiera retirar fondos. Cientos de billeteras se unieron una vez que la vulnerabilidad se hizo pública. |
| Euler Finance | Marzo 2023 | $197 millones | Un ataque de préstamo relámpago (flash loan) explotó una vulnerabilidad en el protocolo de préstamos. Los fondos fueron devueltos posteriormente por el atacante. |
| Mango Markets | Octubre 2022 | $114 millones | Un atacante manipuló el oráculo de precios para inflar el valor del colateral y pedir prestado contra él. |
Estos son solo los ejemplos más grandes. Los exploits menores ocurren regularmente —a veces semanalmente— en todo el ecosistema DeFi. Incluso protocolos con múltiples auditorías han sido vulnerados. Las auditorías reducen el riesgo pero no lo eliminan.
2. Pérdida impermanente (Impermanent Loss)
Si proporcionas liquidez a un exchange descentralizado (como un pool de liquidez), estás expuesto a la pérdida impermanente. Esto ocurre cuando el precio relativo de los dos tokens en tu pool cambia. Cuanto mayor sea el cambio de precio, más valor pierdes en comparación con simplemente mantener (holding) los tokens.
La palabra "impermanente" es engañosa. La pérdida se vuelve permanente cuando retiras tu liquidez. Y en muchos casos, las comisiones de trading que ganas no compensan totalmente la pérdida, especialmente en pares volátiles.
3. Liquidación
Los protocolos de préstamo DeFi te permiten pedir prestado usando tus criptomonedas como colateral. Si el valor de tu colateral cae por debajo de cierto umbral (el ratio de liquidación), el protocolo vende automáticamente tu colateral para pagar el préstamo. Pierdes tu colateral y podrías recibir poco o nada a cambio.
La liquidación puede ocurrir rápido. En un desplome repentino del mercado, los precios pueden caer tan rápido que tu posición se liquida antes de que tengas tiempo de añadir más colateral. Durante el colapso de mayo de 2022, cientos de millones de dólares en posiciones DeFi fueron liquidados en un solo día.
Ejemplo: Depositas $10,000 en ETH como colateral y pides prestados $6,000 en USDC. ETH cae un 40%. Tu colateral ahora vale $6,000, justo en o por debajo del umbral de liquidación. El protocolo vende tu ETH para pagar el préstamo. Terminas sin tu ETH y sin el monto total prestado tras las comisiones. Lo que comenzó como una posición de $10,000 podría dejarte con muy poco.
4. Rug pulls
Un rug pull ocurre cuando los creadores de un proyecto DeFi drenan deliberadamente los fondos. El patrón típico es:
- El desarrollador crea un nuevo token y añade liquidez inicial en un exchange descentralizado.
- El proyecto se promociona agresivamente en redes sociales, prometiendo altos rendimientos o funciones innovadoras.
- La gente compra el token, aumentando su precio y el tamaño del pool de liquidez.
- El desarrollador retira toda la liquidez, vende sus tokens y desaparece.
- Los poseedores de tokens restantes no pueden vender porque no hay liquidez. Sus tokens no valen nada.
Los rug pulls son más comunes en proyectos nuevos y no auditados. Son especialmente frecuentes entre memecoins y tokens lanzados en plataformas sin permisos donde cualquiera puede crear un token en minutos.
5. Colapso del precio del token
Muchos protocolos DeFi pagan rendimientos en su propio token de gobernanza o recompensa. Si estás haciendo farming en un pool que paga un 200% APY en el "token XYZ", tu retorno real depende enteramente del precio de XYZ. Si XYZ cae un 95% (lo cual es común en tokens de granja con altas tasas de emisión), tu 200% APY en términos de tokens se convierte en una pérdida significativa en términos de dólares.
Este es uno de los riesgos más incomprendidos en DeFi. Una cifra de APY alta significa muy poco si el token de recompensa pierde valor más rápido de lo que tú lo acumulas.
6. Eventos de desanclaje (depeg) de stablecoins
Si tu posición en DeFi involucra stablecoins, enfrentas el riesgo de que la moneda estable pierda su paridad (peg). El ejemplo más catastrófico fue el UST de Terra en mayo de 2022, que pasó de $1 a casi cero. Cualquiera que tuviera UST en protocolos DeFi —prestándolo, aportando liquidez con él o usándolo como colateral— lo perdió todo.
Incluso los depegs menos catastróficos pueden causar daños significativos. Cuando USDC cayó brevemente a $0.87 durante la crisis de Silicon Valley Bank, los pools de liquidez que contenían USDC experimentaron pérdidas repentinas, y las posiciones apalancadas que usaban USDC como colateral enfrentaron presiones de liquidación inesperadas.
7. Manipulación de oráculos
Los protocolos DeFi dependen de fuentes de precios llamadas oráculos para saber cuánto valen los tokens. Si un atacante puede manipular el oráculo —distorsionando temporalmente los precios en un exchange de baja liquidez que el oráculo toma como referencia— puede engañar al protocolo para que valore mal los activos. Esto les permite pedir prestado más de lo debido, activar liquidaciones injustas o extraer valor de otras formas.
8. Exploits de aprobación (Approvals)
Cuando interactúas con un protocolo DeFi, normalmente le das permiso para gastar tus tokens. Estas aprobaciones a menudo otorgan permiso de gasto ilimitado y persisten indefinidamente. Si el protocolo se ve comprometido más adelante —o si aprobaste accidentalmente un contrato malicioso— el atacante puede drenar cualquier token que hayas aprobado, incluso meses o años después.
Por eso, revisar y revocar regularmente las aprobaciones no utilizadas es uno de los hábitos de seguridad más importantes en DeFi. Muchas personas tienen docenas de aprobaciones activas en contratos que ya no usan y que quizás ni recuerden.
9. Hackeos de puentes (Bridges)
Mover tokens entre diferentes blockchains requiere puentes: protocolos que bloquean tokens en una cadena y acuñan tokens equivalentes en otra. Los puentes han sido el objetivo de los mayores hackeos en la historia de las criptomonedas (Ronin, Wormhole, Nomad). Si un puente es explotado después de haber cruzado tus tokens, tus tokens puenteados pueden quedar sin respaldo y sin valor en la cadena de destino.
10. Costos de gas consumiendo ganancias
En redes con altos costos de transacción (particularmente la red principal de Ethereum), las comisiones de gas para transacciones DeFi pueden ser sustanciales. Depositar, reclamar recompensas, hacer interés compuesto y retirar, todo cuesta gas. Si estás interactuando con cantidades pequeñas, estos costos pueden superar tus retornos.
Por ejemplo, si el gas cuesta $20 por transacción y necesitas cuatro transacciones para completar un ciclo de farming (aprobar, depositar, reclamar, retirar), eso son $80 en comisiones. Si tu posición solo genera $50 en rendimiento, has perdido dinero tras los costos de gas, incluso si el protocolo subyacente funcionó perfectamente.
El panorama total
Las pérdidas combinadas por exploits, hackeos y estafas en DeFi superan los 5 mil millones de dólares en incidentes reportados. Esta cifra no incluye:
- Pérdidas individuales por pérdida impermanente (imposibles de agregar)
- Pérdidas por liquidación (miles de millones más)
- Colapsos de precios en tokens de granja y gobernanza
- Costos de gas erosionando posiciones pequeñas
- Rug pulls y estafas no reportadas
El total real es probablemente muchas veces superior a la cifra reportada.
Cómo reducir (no eliminar) el riesgo en DeFi
No puedes hacer que DeFi esté libre de riesgos. Pero puedes reducir significativamente tu exposición:
- Usa protocolos probados en batalla. Protocolos como Aave y Uniswap han custodiado miles de millones de dólares durante años y han sobrevivido a múltiples caídas del mercado. Esa trayectoria importa. No garantiza seguridad, pero es mucho mejor que confiar en un protocolo que se lanzó la semana pasada.
- Diversifica entre protocolos. No deposites todo en un solo contrato. Si un protocolo es explotado, solo pierdes la parte depositada allí.
- Comprende en qué estás depositando. Si no puedes explicar cómo genera rendimiento un protocolo, no entiendes el riesgo que estás asumiendo. "Simplemente paga un 80% APY" no es entender.
- Empieza poco a poco. Prueba con una cantidad pequeña antes de comprometer sumas mayores. Asegúrate de entender la mecánica, las comisiones y el proceso de retiro.
- Revoca aprobaciones no utilizadas. Revisa y revoca regularmente las aprobaciones de tokens para contratos que ya no utilices.
- Sé escéptico ante rendimientos extremos. Los rendimientos sostenibles de DeFi en protocolos establecidos suelen oscilar entre el 1% y el 10% APY. Cualquier cosa drásticamente superior casi con seguridad implica un riesgo proporcionalmente mayor.
- Monitorea tus posiciones. El estado de las posiciones DeFi puede cambiar rápidamente. Los ratios de colateral, la composición de los pools y las tasas de recompensa pueden variar en cuestión de horas.
La relación riesgo/recompensa
DeFi ofrece capacidades que no existen en las finanzas tradicionales: préstamos sin permiso, creación de mercado automatizada, estrategias de rendimiento programables y más. Estas capacidades vienen con riesgos que tampoco existen en las finanzas tradicionales.
El principio fundamental es simple: un mayor rendimiento casi siempre significa un mayor riesgo. No hay almuerzos gratis. Cuando un protocolo ofrece retornos drásticamente superiores a sus competidores, la diferencia es el riesgo, ya sea riesgo de contrato inteligente, pérdida impermanente, inflación de tokens o algo completamente distinto.
Cómo ayuda CleanSky: CleanSky proporciona un análisis de riesgo multidimensional para tus posiciones DeFi, evaluando el riesgo de contrato inteligente, volatilidad, liquidez y más. También escanea tus aprobaciones de tokens para señalar permisos potencialmente peligrosos. En lugar de adivinar tu exposición, puedes ver exactamente dónde se concentran tus riesgos y tomar decisiones informadas.
Continúa aprendiendo: Entendiendo el riesgo en Cripto | ¿Qué es la pérdida impermanente? | Mantenerse seguro en Cripto | Pools de liquidez explicados | DeFi explicado
Escanea tus posiciones DeFi en busca de riesgos de contrato inteligente, exposición de aprobaciones y concentración, antes de que algo salga mal.