Sui congeló 162 M$ de un hacker — ¿seguridad o centralización?

223 millones de dólares robados en minutos. 162 millones congelados por los validadores antes de que salieran de la red. Una votación de emergencia donde el 90,9 % del stake dijo "sí" a devolver los fondos. Sui hizo lo que ninguna blockchain había hecho antes: los validadores bloquearon las direcciones del atacante directamente on-chain y revirtieron el daño. ¿Es el modelo de seguridad del futuro — o la prueba de que Sui no es tan descentralizado como dice?

Este artículo analiza los tres exploits que ha sufrido el ecosistema DeFi de Sui entre 2025 y 2026, por qué el hack de Cetus abrió un debate sobre los límites de la descentralización, y qué debería saber un inversor antes de depositar capital en una red donde los validadores pueden congelar tus fondos.

¿Qué es Sui y por qué su arquitectura importa para la seguridad?

Sui es una blockchain de capa 1 (L1 — la red base, como Ethereum o Solana) creada por Mysten Labs, fundada por ex-ingenieros de Meta que trabajaron en el proyecto Diem. Su diferencia técnica fundamental es el lenguaje Move, diseñado específicamente para tratar activos digitales como "objetos" con reglas de propiedad estrictas verificadas antes de ejecutar cualquier transacción.

En la práctica, Move elimina por diseño los ataques de reentrada (reentrancy — cuando un contrato malicioso llama repetidamente a otro antes de que termine la primera operación) que han causado miles de millones en pérdidas en Ethereum. No se pueden duplicar activos accidentalmente ni hacer llamadas dinámicas durante la ejecución de un contrato. Es una mejora real de seguridad a nivel de lenguaje.

Pero la seguridad del lenguaje no protege contra errores en la lógica financiera de los protocolos que se construyen encima — como demostró el mayor hack en la historia de Sui.

¿Qué pasó con Cetus y por qué importa más allá de Sui?

El 22 de mayo de 2025, Cetus Protocol — el DEX (exchange descentralizado) de liquidez concentrada más grande de Sui — fue explotado por 223 millones de dólares. No fue un fallo del lenguaje Move ni de la red Sui. Fue un error matemático en una librería de terceros llamada integer-mate, utilizada para cálculos de precisión.

El atacante encontró un fallo en la función checked_shlw (desplazamiento de bits a la izquierda) que no validaba correctamente condiciones de desbordamiento. Con parámetros extremos y un préstamo relámpago (flash loan — préstamo que se pide y devuelve en la misma transacción), inyectó tokens falsos en pools de liquidez, infló artificialmente su posición y drenó activos reales (SUI y USDC) de los pools.

La lección técnica: incluso en Move — diseñado para prevenir errores de bajo nivel — la seguridad de un protocolo DeFi depende de cada librería externa. Una función de redondeo defectuosa anuló todas las garantías del lenguaje. KelpDAO sufrió el mismo patrón en abril de 2026: el fallo no fue del protocolo core sino de la infraestructura periférica.

¿Los validadores de Sui "hackearon al hacker" — y eso es bueno o malo?

Aquí está el debate real. Cuando los validadores detectaron el exploit, coordinaron una acción de emergencia: bloquearon las direcciones del atacante on-chain antes de que pudiera mover la mayoría de los fondos fuera de Sui. 162 millones fueron congelados. Los ~63 millones restantes escaparon a Ethereum vía bridges antes de la intervención.

Tres días después, el 29 de mayo, Sui ejecutó una votación on-chain para decidir si devolver los fondos congelados a las víctimas. El 90,9 % del stake votó sí. Los fondos se transfirieron a un multisig controlado por Cetus, la Fundación Sui y OtterSec (auditora). Cetus complementó con su tesoro (7 M$) y un préstamo de 30 M$ de la Fundación Sui para compensar al 100 % a las víctimas.

El argumento a favor: 162 millones recuperados. Víctimas compensadas al 100 %. Respuesta en días, no en meses. En Ethereum, Lazarus lavó 577 M$ sin que nadie pudiera congelar nada. En Sui, la red actuó.

El argumento en contra: si los validadores pueden congelar direcciones de un hacker, también pueden congelar las tuyas. La acción fue coordinada por la Fundación Sui — no por una DAO descentralizada con proceso formal. ¿Quién decide cuándo la congelación es legítima y cuándo es censura? ¿Qué pasa cuando un gobierno pide la misma acción contra un disidente en vez de contra un hacker?

La comparación con el debate general de centralización en DeFi es directa:

Sui tiene un Nakamoto de 20 — más descentralizado que BNB Chain (5) o Polygon (4), comparable a Solana (21), pero muy por debajo de Polkadot (92). Los 117 validadores son suficientes para coordinar una congelación de emergencia en horas. Ethereum, con un millón de validadores, no tiene un mecanismo equivalente — lo que protege contra la censura pero deja a las víctimas de hacks sin recurso on-chain. No hay respuesta correcta: es un trade-off entre seguridad recuperable y resistencia a la censura.

Un detalle que amplifica el debate: la Fundación Sui controla una parte significativa del supply de SUI. Los críticos señalan que los fundadores controlan un porcentaje elevado del supply total (incluidos tokens bloqueados), lo que otorga influencia desproporcionada sobre la gobernanza. La Fundación ha respondido que su objetivo es distribuir progresivamente la delegación — pero el poder actual es innegable.

¿Qué otros exploits ha sufrido Sui en 2026?

Cetus no fue un incidente aislado. El ecosistema DeFi de Sui ha sufrido tres exploits adicionales, cada uno con un patrón diferente:

Los patrones revelan una evolución: Cetus fue un error matemático en una librería (sofisticado). Nemo fue gobernanza débil — código desplegado sin auditar con una sola firma de autorización. Volo fue una clave privada comprometida (el vector más básico y más difícil de prevenir). Scallop fue un flash loan en un contrato periférico.

La tendencia positiva: ninguno de los exploits posteriores a Cetus comprometió el core de Sui ni el lenguaje Move. La superficie de ataque se ha desplazado hacia la capa de aplicación — claves de administración, contratos periféricos, librerías externas. La negativa: 229 M$ en pérdidas totales para un ecosistema de 1.600 M$ de TVL es una ratio de pérdida del 14 % — significativamente peor que la media de la industria.

¿Move es realmente más seguro que Solidity?

Move elimina categorías enteras de vulnerabilidades que han costado miles de millones en Ethereum. La reentrada — responsable de hacks como el de The DAO (60 M$, 2016) o Euler (197 M$, 2023) — es imposible por diseño en Move. Pero la seguridad del lenguaje no impide errores en la lógica financiera, en las librerías externas ni en la gestión de claves.

El verificador de bytecode de Sui — que analiza todo el código antes de ejecutarlo — es tan crítico que el programa de bug bounty clasifica cualquier bypass como severidad máxima (recompensa de hasta 1 M$). Y herramientas como Belobog (un fuzzer específico para Move) detectó retroactivamente el 100 % de las vulnerabilidades de Cetus y Nemo en tests sobre 109 proyectos reales.

¿Sui es seguro para depositar capital en DeFi?

Depende de qué capa y de qué significado le des a "seguro":

La capacidad de los validadores de congelar fondos es una espada de doble filo: salvó 162 M$ en Cetus, pero significa que tu capital no es inmune a la intervención. Si valoras la resistencia a la censura por encima de todo, Sui no es tu red. Si valoras la capacidad de recuperación ante hacks, Sui demostró que funciona.

¿Sui sigue creciendo a pesar de los hacks?

Sí — y eso es lo más revelador. Tras el hack de Cetus (223 M$ en mayo 2025), el TVL de Sui cayó brevemente pero se recuperó en semanas. Protocolos como NAVI reabrieron con APYs del 25 % para atraer liquidez. En marzo de 2026, Sui lanzó USDsui — su stablecoin nativa para pagos y DeFi. Flare y Xaman integraron acceso DeFi para más de 2.000 millones de XRP tokenizados como FXRP. Y Sui invertió 10 M$ en un programa de seguridad tras el hack de Cetus.

Los números actuales muestran un ecosistema que crece con cicatrices:

El ratio de pérdidas/TVL del 14,3 % es alto comparado con la media de la industria. Pero la capacidad de recuperar 162 M$ de los 223 M$ robados (73 %) es sin precedentes — ninguna otra red ha logrado algo comparable. La pregunta para el inversor no es si Sui es seguro en abstracto — es si la combinación de Move + validadores con poder de congelación + ecosistema joven compensa el riesgo frente a alternativas más maduras como Ethereum o Solana.

¿Qué debería verificar un inversor antes de usar DeFi en Sui?

1. ¿El protocolo usa multisig para actualizaciones? Nemo fue explotado porque una sola firma podía desplegar código. Volo fue drenado por una clave admin comprometida. Si el protocolo no usa multisig, tu capital depende de una sola persona.
2. ¿Las librerías externas están auditadas? Cetus usó una librería de terceros (integer-mate) con un error de overflow. Las auditorías del contrato principal no cubren las dependencias — pregunta si las cubren.
3. ¿El contrato es inmutable o actualizable? Los paquetes Move en Sui son inmutables una vez publicados — pero los protocolos pueden usar patrones de proxy o migración. Verifica si el protocolo puede cambiar la lógica después del despliegue.
4. ¿Cuánto del TVL está en el protocolo vs en la red? Si un solo protocolo concentra más del 30 % del TVL de Sui, un exploit en ese protocolo es un evento sistémico para toda la red — como Cetus demostró.
5. ¿Estás cómodo con la gobernanza de Sui? Los validadores pueden congelar direcciones. La Fundación Sui tiene influencia significativa. Es más "seguro" que Ethereum en un hack — pero menos resistente a la censura.

Lo más honesto que se puede decir: Sui tiene una arquitectura de seguridad superior a nivel de lenguaje (Move > Solidity para prevención de vulnerabilidades de bajo nivel), una capacidad de respuesta ante hacks sin precedentes (162 M$ recuperados), y un ecosistema DeFi joven que todavía comete errores de gobernanza y gestión de claves. La red es sólida. Los protocolos que se construyen encima, no siempre. Y la capacidad de los validadores para intervenir es una característica que puede ser virtud o defecto — dependiendo de si estás en el lado de la víctima o en el del censurado.