El gran freno de DeFi para la banca: los hacks

Imagina que trabajas en riesgos dentro de un banco. Puedes convivir con normas exigentes, procesos lentos y reuniones eternas. Lo que no puedes defender ante un comité es haber puesto dinero en un protocolo que pierde $197 millones en una noche por un fallo de código. Por eso el problema de seguridad en DeFi pesa tanto ahora. Para una entidad grande, un exploit basta para borrar meses de interés.

¿Por qué el problema de los hacks en DeFi frena a los bancos?

Sobre el papel, DeFi tiene buena pinta. Las finanzas descentralizadas prometen préstamos, trading y liquidación a través de software, sin tantas capas intermedias. Para un banco, eso significa procesos más rápidos, menos trabajo manual y mercados abiertos a cualquier hora.

La duda aparece en cuanto miras debajo del capó. Buena parte de DeFi funciona con contratos inteligentes, y cuando el código falla, el dinero se mueve igual de bien que cuando todo iba según lo previsto. La banca no ve una demo prometedora, ve un riesgo operativo público y fácil de señalar.

En AhoraCrypto puedes seguir activos como ETH y AAVE, pero la pregunta institucional va por otro lado. No es solo “¿funciona?”. Es “¿qué pasa el día en que todo sale mal?”.

¿Qué enseñan a la banca los grandes hacks de DeFi?

La historia viene de lejos. En 2016, The DAO sufrió un ataque que se llevó unos $60 millones en ETH al precio de entonces y acabó provocando una escisión histórica en Ethereum. Aquello dejó una idea que sigue vigente: el código manda, hasta que deja de hacerlo.

Después llegaron cifras aún más duras. En marzo de 2022, el exploit del puente Ronin rondó los $624 millones. En marzo de 2023, Euler Finance perdió alrededor de $197 millones, aunque más tarde recuperó buena parte de los fondos. Para un banco, cada episodio cuenta la misma historia: la superficie de ataque sigue siendo amplia y el daño potencial sigue siendo enorme.

Y no es un problema solo para el sector crypto. Un piloto que no funciona se explica. Un protocolo que termina en un informe forense, en cambio, obliga a responder ante dirección, reguladores, aseguradoras y clientes. Ahí es donde muchas conversaciones se enfrían.

¿Dónde suele empezar el problema de los hacks en DeFi?

No todos los robos nacen del mismo error. Conviene separar causas, porque decir “han hackeado DeFi” suele mezclar fallos distintos bajo una misma etiqueta.

1. ¿Fallos en los contratos inteligentes?

Un protocolo puede pasar auditorías y aun así esconder un bug en la forma de calcular garantías, intereses o retiradas. La propia documentación de Ethereum deja claro que la seguridad de contratos es una disciplina en sí misma, no una casilla final que marcas antes de lanzar. Puedes repasar lo esencial en la guía de contratos inteligentes de Ethereum.

2. ¿Los puentes siguen siendo el punto débil?

Un bridge sirve para pasar valor entre redes, pero también abre otro lugar donde pueden fallar firmas, validadores o fondos bloqueados. No es casualidad que varios de los mayores exploits del sector hayan pasado por ahí. El botín suele ser grande y la arquitectura, difícil de asegurar.

3. ¿Las claves de administrador y las actualizaciones rompen la promesa?

Algunos protocolos se presentan como descentralizados, pero en la práctica dependen de unos pocos monederos con permisos para pausar contratos, cambiar parámetros o subir nuevas versiones. Si esas claves se comprometen, o si una actualización precipitada mete una función defectuosa, la imagen cambia por completo. Ya no parece infraestructura neutral, parece un backend frágil.

Incluso los ecosistemas más consolidados se juzgan así. Un token puede moverse con soltura en redes líquidas como o , pero la pregunta sigue siendo la misma: quién puede tocar las reglas, quién guarda las llaves y a qué velocidad se propaga un error.

¿Por qué una auditoría no basta para la DeFi institucional?

Porque una auditoría es una foto, no una garantía permanente. Sirve para saber qué encontró un equipo revisor en una versión concreta del código y en un momento concreto. No te asegura que la siguiente actualización sea segura, que la gobernanza no pueda torcerse o que una dependencia externa vaya a responder bien en tensión.

Por eso las entidades hacen preguntas poco vistosas y bastante sensatas. ¿Hay programa de bug bounty? ¿Existe un bloqueo temporal antes de activar cambios? ¿Los permisos están reducidos al mínimo? ¿Hay pausa de emergencia y quién la controla? Si quieres una base clara y sin tecnicismos, la página de seguridad de AhoraCrypto resume bien los puntos básicos.

También hay avances reales. El estándar EIP-4626 busca unificar el comportamiento de ciertas bóvedas tokenizadas y así reducir errores de integración. Y proyectos como Aave llevan años construyendo una reputación más conservadora en gestión de riesgo que la cultura acelerada que rodea a muchos protocolos nuevos.

¿Qué tendría que cambiar para que DeFi parezca apta para la banca?

No hace falta otro eslogan ni otro token con lanzamiento ruidoso. Hace falta disciplina, la clase de disciplina que rara vez sale en un titular.

• Permisos más pequeños. Menos poder concentrado, funciones separadas y límites claros para cada clave.
• Actualizaciones más lentas. Un retraso antes de activar cambios da tiempo a revisar el código con calma.
• Reservas y procedimientos visibles. Si hay pérdidas, quién responde, cómo se tramitan las reclamaciones y qué se congela primero.
• Diseños más simples. Un protocolo que depende de cinco bridges, tres oráculos y una votación semanal no suena a infraestructura bancaria.

La infraestructura bancaria parece aburrida por una razón. Lo aburrido suele ser lo que sobrevive a los comités, a los supervisores y a una crisis. Si DeFi quiere escala institucional, tiene que ganarse esa fama.

¿Qué te conviene vigilar el lunes por la mañana si usas DeFi?

No hace falta esperar a que un banco marque el listón. Puedes revisar tú mismo varias señales antes de depositar fondos, intercambiar tokens o perseguir rentabilidad.

1. Mira quién tiene permisos. Si un equipo puede cambiar las reglas al instante, eso es riesgo, no agilidad.
2. Fíjate en las actualizaciones recientes. Los primeros días tras lanzar código nuevo suelen ser los más delicados.
3. Evita estructuras que no sabrías explicar. Si la estrategia exige tres redes, dos stablecoins y una dependencia opaca, mejor pasar.
4. Ten clara la salida. Decide de antemano cómo volver a autocustodia o cómo convertir a dinero fiat. La app de AhoraCrypto y su guía de riesgos ayudan a ordenar ese proceso.

El problema de los hacks en DeFi ya no es un detalle secundario. Es la prueba principal. Cuando los protocolos demuestren que los fallos se contienen, que la recuperación sigue un guion claro y que nadie puede improvisar con el dinero de los usuarios, la banca dará un paso más. Hasta entonces, la regla útil es sencilla: confía en el código solo hasta donde entiendas quién puede cambiarlo.