Riesgos de los préstamos DeFi y explotaciones recientes
Los préstamos de finanzas descentralizadas permiten depositar activos como garantía, solicitar crédito sin una entidad bancaria y obtener intereses mediante contratos inteligentes. Este modelo ha ampliado el acceso a servicios financieros digitales, pero también ha trasladado una parte importante del riesgo al código, a los oráculos de precios y a los propios usuarios.
Cuando un protocolo falla, las pérdidas pueden producirse en cuestión de minutos. Una vulnerabilidad técnica, una manipulación del mercado o una garantía sobrevalorada pueden desencadenar liquidaciones masivas y dejar un agujero de liquidez. Los casos recientes muestran que auditar un contrato no elimina todos los peligros asociados con el crédito descentralizado.
Por qué un préstamo DeFi puede fallar
En un protocolo tradicional, una entidad analiza al prestatario, custodia la garantía y puede renegociar una deuda. En DeFi, esas funciones se automatizan mediante contratos inteligentes. El sistema decide cuánto prestar, cuándo liquidar una posición y qué precio utilizar siguiendo reglas programadas. Si esas reglas contienen un error, la operación puede ejecutarse de forma correcta desde el punto de vista técnico y, aun así, causar pérdidas enormes.
El riesgo también depende de la estructura económica del protocolo. Muchos préstamos exigen una garantía superior al valor recibido, pero esa protección puede desaparecer si el activo utilizado como colateral cae bruscamente. La volatilidad de tokens secundarios, stablecoins o activos envueltos agrava el problema. Un caso de Ripple puede servir para recordar que las expectativas del mercado y la liquidez disponible influyen tanto como la tecnología.
Los préstamos flash añaden otra capa de complejidad. Permiten tomar fondos prestados y devolverlos dentro de una misma transacción, sin aportar garantía convencional. Esta herramienta tiene usos legítimos, como el arbitraje, pero también facilita manipular un precio, vaciar una reserva o alterar una votación antes de que el estado de la cadena vuelva a su situación normal.
Explotaciones que marcaron el ecosistema
El ataque a Euler Finance, ocurrido en marzo de 2023, combinó una vulnerabilidad en la lógica de donaciones y liquidaciones con préstamos flash. El atacante consiguió extraer alrededor de 197 millones de dólares en distintos activos. Parte de los fondos fue devuelta posteriormente, pero el incidente evidenció cómo una función aparentemente relacionada con la solvencia podía convertirse en una vía para crear deuda incobrable.
Mango Markets sufrió en 2022 una manipulación del precio de su token MNGO. El atacante elevó artificialmente el valor de la garantía, pidió préstamos respaldados por esa valoración y retiró activos más líquidos. El problema no consistía únicamente en un fallo de código: la dependencia de un mercado relativamente pequeño permitió que el oráculo reflejara un precio que no representaba una liquidez suficiente para cerrar las posiciones.
En enero de 2024, el protocolo Radiant Capital registró una explotación vinculada a un mercado recién creado en Arbitrum. La interacción con una condición de redondeo y un breve periodo de antigüedad del mercado permitió al atacante retirar fondos. El caso recordó que una actualización o un nuevo mercado pueden introducir riesgos aunque el protocolo principal lleve años funcionando.
Otros incidentes, como los ataques a Cream Finance, Venus o distintos puentes entre cadenas, comparten patrones similares: errores de validación, controles de precios insuficientes, permisos administrativos excesivos o integración de activos cuya seguridad no se había evaluado de manera independiente. Cada incidente puede parecer particular, pero las consecuencias suelen repetirse: pérdida de liquidez, suspensión de retiros y caída de la confianza.
Principales vías de pérdida para los usuarios
El riesgo más visible es el de contrato inteligente. Una función vulnerable puede permitir reentradas, acuñar tokens sin respaldo, retirar fondos bloqueados o modificar el estado contable. Las auditorías reducen la probabilidad de errores conocidos, aunque no garantizan que el código sea seguro. También importa si el contrato fue actualizado después de la auditoría o si utiliza bibliotecas externas no revisadas.
Los oráculos constituyen otro punto crítico. Un protocolo necesita conocer el precio de cada garantía para calcular el nivel de endeudamiento. Si recibe datos de una sola plataforma, utiliza una fuente con poca liquidez o actualiza el precio con retraso, un atacante puede alterar la cotización y pedir más fondos de los que realmente respaldan sus activos. La manipulación puede desencadenar liquidaciones injustas o permitir retirar reservas a un coste artificialmente bajo.
| Riesgo | Cómo se produce | Consecuencia habitual |
|---|---|---|
| Fallo del contrato | Error de programación o actualización defectuosa | Retirada no autorizada de fondos |
| Manipulación del oráculo | Precio alterado mediante mercados poco líquidos | Préstamos sin respaldo o liquidaciones incorrectas |
| Riesgo de liquidez | No hay activos suficientes para cubrir retiros | Congelación de operaciones y pérdidas |
| Deuda incobrable | La garantía cae por debajo del préstamo | Déficit asumido por el protocolo |
| Riesgo de gobernanza | Votación concentrada o propuesta maliciosa | Cambios que favorecen a un atacante |
| Riesgo de puente | Fallo al representar activos entre cadenas | Creación de tokens sin respaldo |
La liquidez tampoco debe confundirse con el valor total bloqueado. Un protocolo puede mostrar cientos de millones de dólares depositados y, aun así, tener poca capacidad para absorber una retirada rápida. Si muchos usuarios intentan recuperar sus fondos durante una caída, las reservas pueden agotarse antes de que las liquidaciones compensen el déficit.
Incentivos, gobernanza y contagio entre protocolos
Los programas de rendimiento elevado atraen capital con rapidez, pero pueden ocultar una dependencia excesiva de emisiones de tokens. Cuando cae el precio del activo utilizado para pagar recompensas, los proveedores retiran liquidez y los prestatarios quedan expuestos a liquidaciones. La rentabilidad anunciada tampoco siempre refleja el riesgo de pérdida impermanente, devaluación del token o insolvencia de una contraparte integrada.
La gobernanza representa un riesgo adicional. Si unas pocas carteras controlan una gran proporción de los votos, pueden aprobar parámetros peligrosos, incorporar un activo sin suficiente liquidez o modificar los límites de préstamo. Los sistemas de puntos y recompensas pueden acelerar este comportamiento. Incluso fuera del sector financiero, los rankings de casino muestran cómo las clasificaciones y los premios pueden impulsar una participación más intensa; en DeFi, esa presión puede llevar a asumir apalancamiento sin comprender las condiciones de liquidación.
El contagio aparece cuando varios protocolos comparten el mismo activo, puente, emisor de stablecoins o plataforma de precios. Una garantía bloqueada en un mercado puede servir como activo de respaldo en otro. Si el primer protocolo sufre una explotación, el valor de esas garantías se reduce en cadena y provoca pérdidas adicionales. Por ese motivo, medir el riesgo de un préstamo exige analizar sus dependencias, no solo la interfaz donde se realiza el depósito.
Cómo analizar un protocolo antes de pedir crédito
El usuario debería empezar por identificar qué activos acepta el protocolo, quién mantiene el control administrativo y qué ocurre durante una emergencia. Conviene revisar el porcentaje máximo de préstamo sobre la garantía, los umbrales de liquidación, las comisiones y el mecanismo utilizado para fijar precios. Un rendimiento elevado no compensa una arquitectura que depende de una sola fuente de datos o de un contrato actualizado recientemente.
También es importante comprobar el historial de auditorías, los informes de errores y la existencia de un programa de recompensas para investigadores. Una auditoría no equivale a un seguro: normalmente analiza una versión concreta del código y puede excluir componentes externos. Las medidas de emergencia, como pausas parciales, fondos de cobertura o mecanismos de recuperación, deben considerarse una capa adicional, no una garantía de reembolso.
La exposición personal debe limitarse a una cantidad cuya pérdida no comprometa las finanzas del usuario. Es prudente evitar el apalancamiento excesivo, separar las carteras y desconfiar de enlaces que soliciten firmar permisos ilimitados. Para familiarizarse con conceptos como garantías, liquidaciones y contratos inteligentes, puede consultarse esta guía educativa antes de interactuar con un protocolo.
La regla práctica es sencilla: verificar el código y sus administradores, revisar la liquidez real, entender el oráculo y los umbrales de liquidación, y utilizar una exposición pequeña y controlable; en DeFi, conservar el capital depende tanto de comprender el mecanismo como de elegir el activo.