Los trucos más populares del protocolo DeFi: Lecciones del pasado y cómo proteger sus fondos

DeFi (finanzas descentralizadas) ha revolucionado las criptomonedas, permitiendo a los usuarios prestar, intercambiar y ganar con activos sin intermediarios. Sin embargo, esto también ha convertido a los protocolos en objetivos atractivos para los piratas informáticos. De 2020 a 2024, los hackeos de DeFi provocaron pérdidas superiores a 59.000 millones de dólares, con 2.200 millones adicionales en 2024. En 2025, la situación mejoró (las pérdidas en octubre cayeron un 85% hasta los 18 millones de dólares), pero los riesgos persisten. En este artículo, repasaremos los hackeos más populares, sus causas y contramedidas. El objetivo no es asustar, sino enseñar a evitar pérdidas.

Los hackeos más populares del protocolo DeFi

Éstos son los 10 hacks de DeFi más importantes o con más resonancia. A menudo tienen que ver con puentes, protocolos de préstamo e intercambios.

Puente Ronin

El Puente Ronin, que soporta el juego Axie Infinity, sufrió uno de los mayores hackeos DeFi de la historia el 23 de marzo de 2022, en el que los atacantes robaron aproximadamente 173.600 ETH y 25,5 millones de USDC, valorados en unos 625 millones de dólares. La brecha pasó desapercibida durante seis días, hasta que un usuario informó de que no podía retirar fondos. Los atacantes comprometieron las claves privadas mediante ingeniería social, haciéndose con el control de cinco de los nueve nodos validadores necesarios para la aprobación de las transacciones. Esto incluía cuatro nodos controlados por Sky Mavis (desarrollador del juego) y un nodo de terceros de Axie DAO. El pirateo se vinculó al grupo norcoreano Lazarus, que blanqueaba fondos a través de servicios como Tornado Cash. Se recuperaron fondos parciales, incluidos 5,7 millones de dólares con ayuda de las autoridades noruegas en 2024, pero aún queda mucho por recuperar.

Hackeo de Poly Network

El 10 de agosto de 2021, Poly Network, un protocolo de interoperabilidad entre cadenas, fue atacado por un hacker que explotó una vulnerabilidad en sus contratos inteligentes, transfiriendo más de 610 millones de dólares en criptomonedas a través de Ethereum, Binance Smart Chain y Polygon. El atacante accedió a los fondos comprometiendo las claves de custodia del contrato, lo que permitió que llamadas no autorizadas retiraran activos. Inusualmente, el hacker devolvió casi todos los fondos en las semanas siguientes, alegando que se trataba de una demostración de "sombrero blanco" de la vulnerabilidad. Tether congeló 33 millones de dólares en USDT involucrados, y el hacker incrustó mensajes en las transacciones explicando sus acciones. Este sigue siendo uno de los mayores hackeos de criptomonedas, aunque mitigado por la devolución de activos.

Hackeo del puente Wormhole

El 2 de febrero de 2022, el Wormhole Bridge, que conecta Solana y Ethereum, perdió 325 millones de dólares (120.000 wETH) debido a un fallo en la verificación de firmas. El atacante se saltó las validaciones de los guardianes, acuñando ETH envueltos sin respaldo en Solana sin depositar garantías en Ethereum. El pirateo se detectó rápidamente y Jump Crypto repuso los fondos. Esto expuso los riesgos en los puentes entre cadenas, donde los tokens sin respaldo podrían desestabilizar los ecosistemas.

Hackeo de Nomad Bridge

Nomad Bridge se quedó sin 190 millones de dólares el 1 de agosto de 2022, en un caótico hackeo "sin permiso". Una actualización rutinaria marcó un hash cero como de confianza, permitiendo a cualquiera falsificar mensajes y retirar fondos sin verificación. Cientos de imitadores se unieron al ataque, convirtiéndolo en un saqueo masivo. Los sombreros blancos devolvieron un 20% de los fondos, pero la mayoría se perdieron. Esto puso de manifiesto los peligros de las actualizaciones de proxy y la comprobación de mensajes.

Hackeo de Euler Finance

Euler Finance perdió 197 millones de dólares el 13 de marzo de 2023, en un ataque de préstamo flash que explotaba un bypass de solvencia en su función eToken donateToReserves. El hacker pidió préstamos masivos, donó garantías para activar la subcolateralización y se autoliquidó para obtener beneficios. Vinculado al grupo Lazarus de Corea del Norte, la mayoría de los fondos se devolvieron tras las negociaciones, y el hacker pidió disculpas.

Hackeo de multicadenas

Los puentes Multichain fueron explotados por 126 millones de dólares el 6 de julio de 2023, con salidas no autorizadas de los puentes Fantom, Moonriver y Dogecoin. Se sospecha que se trató de un trabajo interno o de un tirón de alfombra debido a la desaparición del CEO y a problemas técnicos, y es probable que los hackers comprometieran las claves de administración. Esto provocó la interrupción de los servicios y la sospecha de la participación de Corea del Norte.

Hackeo de DMM Bitcoin

DMM Bitcoin, un exchange japonés, perdió 305 millones de dólares (4.502,9 BTC) el 31 de mayo de 2024, debido a una filtración de claves privadas. Los hackers, vinculados a TraderTraitor de Corea del Norte, manipularon las transacciones mediante ingeniería social y suplantación de identidad. La bolsa cerró y transfirió sus activos a SBI VC Trade.

Hackeo de ByBit

En febrero de 2025, Bybit perdió 1.400 millones de dólares en ETH debido a una inyección de malware en su Safe{Wallet} UI, comprometiendo el proceso de firma. Vinculados a TraderTraitor de Corea del Norte, los hackers manipularon JavaScript para aprobar transferencias maliciosas. Los fondos se blanquearon a través de mezcladores y DEX.

Hackeo de Abracadabra

Abracadabra perdió 1,8 millones de dólares el 4 de octubre de 2025 por un fallo lógico en su función Cauldron V4 cook(), que permitía préstamos MIM sin garantía. El atacante restableció las banderas de validación, repitiendo el fallo anterior de una bifurcación. Los fondos fueron blanqueados a través de Tornado Cash, sin impacto en el usuario después de la mitigación DAO.

Estos hackeos suelen aprovechar vulnerabilidades en contratos inteligentes, puentes u oráculos (feeds de precios). Muchos son "drenajes", donde los fondos se desvían de los fondos de liquidez debido a errores de código o compromisos clave.

Los 10 mejores consejos para proteger sus fondos

Para minimizar los riesgos, los usuarios de DeFi deben seguir unas normas de seguridad básicas. Estos son los 5 consejos principales, basados en recomendaciones de expertos (por ejemplo, de Halborn y OWASP). Estos consejos están dirigidos a usuarios individuales, no a desarrolladores de protocolos.

1. Almacene las claves privadas fuera de línea (por ejemplo, Ledger o Trezor). Esto protege frente a ataques en línea como el phishing o los ataques informáticos.
2. Muchos hacks se aprovechan de las aprobaciones de gasto ilimitado de tokens. Utiliza revoke.cash para revocar firmas y aprobaciones después de interactuar con protocolos, para cancelar permisos innecesarios y reducir riesgos de dApps maliciosas.
3. Antes de invertir, verifique si el protocolo ha sido auditado por empresas de confianza (por ejemplo, Certik o PeckShield). Evite nuevos proyectos sin historial.
4. Utiliza 2FA en todas las cuentas, y herramientas de monitorización como Wallet Guard o Forta para detectar transacciones sospechosas en tiempo real.
5. No guardes todos los fondos en un mismo protocolo. Para grandes cantidades, utiliza monederos multifirma que requieran múltiples confirmaciones para las transacciones.
6. Verifique siempre las URL antes de conectar los monederos, utilice marcadores para sitios de confianza y evite hacer clic en enlaces sospechosos en correos electrónicos o redes sociales.
7. Actualice regularmente sus aplicaciones de monedero, navegadores y sistemas operativos para parchear vulnerabilidades conocidas que puedan ser explotadas.
8. Considere protocolos como Nexus Mutual o Unslashed para asegurar sus depósitos contra hackeos o fallos de contratos inteligentes.
9. Utilice redes privadas seguras o una VPN para evitar ataques de intermediario cuando interactúe con DeFi.
10. Aprende a detectar amenazas comunes como tirones de alfombra, honeypots o falsos airdrops a través de recursos como blogs o comunidades de cripto seguridad.

DeFi es una herramienta poderosa, pero la seguridad depende de ti. Estudiando los hackeos del pasado, podemos evitar repetir los errores. Si eres desarrollador, añade auditorías y monitorizaciones regulares. Para los usuarios, sigue los consejos anteriores, y tus fondos estarán más seguros.